RaaS（Ransomware as a Service）とは-犯罪のサービス化が生んだサイバー攻撃の民主化と、日本組織が実際に受けた被害の全貌|セキュリティ対策 Lab

投稿日時: 2025年09月09日更新日時: 2026年08月01日

RaaS (Ransomware as a Service)とは-セキュリティ用語を解説

2024年から2026年にかけて、RaaS（Ransomware as a Service）を背景とする攻撃は日本国内でも着実にその範囲を広げています。KADOKAWA・ニコニコ動画への約2か月にわたるサービス停止、ニチレイのサプライチェーン全体に及んだ物流障害、日本最大手のタクシー事業者である日本交通へのデータ窃取主張――これらはすべてRaaSという犯罪サービスモデルの産物です。かつてランサムウェア攻撃は、高度なコーディング能力を持つ組織だけが実行できるものでした。しかしRaaSの登場によって、その構造は一変しました。専門的なマルウェア開発者と攻撃実行者が完全に分業し、技術スキルを持たない者でも洗練された攻撃を仕掛けられる「犯罪のフランチャイズ」が成立しています。本記事では、RaaSの仕組みと現在活動中の主要グループの実態、そして日本企業に起きた被害事例を、当サイトの取材・調査を交えながら解説します。

サマリー

RaaSはランサムウェアの開発者（オペレーター）と攻撃実行者（アフィリエイト）が分業する犯罪フランチャイズモデル
アフィリエイトは身代金の70〜80%を受け取り、オペレーターに残りを支払う収益分配構造が主流
脅迫手法はダブルエクストーション（二重）からクワドラプルエクストーション（四重）へと多層化が進む
現在日本で被害が確認されているグループ: Qilin・BlackSuit・RansomHouse・AiLock・The Gentlemen等
AiLockは規制当局や競合他社への情報通報を脅迫手段に使い、ポスト量子暗号（PQC）を採用する新興グループ
初期アクセスブローカー（IAB）がVPNの脆弱性やパスワードを売買し、RaaSの入り口を大量供給
The GentlemenはEDRキラーをアフィリエイトに提供し、エンドポイント防御を無効化する支援をしている
製造業・物流・交通・メディアが日本における主要な標的業種

主要なRaaS型ランサムウェアグループの一覧

グループ名	活動状況	主な手口・特徴	日本での主な被害事例
LockBit	Operation Cronos後も継続（v5.0）	高速暗号化・ESXi標的・世界最大規模	株式会社エンドレス等
BlackSuit	活動中	Royal改称・二重脅迫・マルチステージ攻撃	KADOKAWA・ニコニコ動画（2024年6月）
Qilin	活動中（国内最多）	VMware ESXi・Hyper-V攻撃・GoLang製	日産Creative Box（2025年）、国内8件以上
RansomHouse	活動中	恐喝特化型・暗号化なしの場合も	アスクル（2025年）、ニチレイ（2026年）
AiLock	新興・急拡大	PQC採用・規制当局通報型脅迫	日本交通（2026年7月）
The Gentlemen	活動中	EDRキラー配布・アフィリエイト支援	日本を含む複数組織
INC Ransomware	活動中	医療・公共インフラ標的・米HHS分析済み	調査継続中
Spirals	新興・観測中	侵入から暗号化まで24時間未満	アジアIT企業を標的（日本も標的圏）
Clop（Cl0p）	活動中	ゼロデイ悪用・暗号化レス恐喝	MOVEit関連で間接被害

RaaSが登場するまでの経緯―ランサムウェアはどう進化したか

ランサムウェアが企業にとって現実の脅威となったのは2013〜2014年頃のことです。CryptoLockerやCryptoWallといったマルウェアがビットコインを使った匿名の身代金徴収を確立し、攻撃の収益化が一気に現実的になりました。当時の攻撃者は、マルウェアの開発から感染活動・身代金の交渉まですべてを自前で行っていました。つまり、オペレーターとアフィリエイトが同一人物または同一グループだった時代です。

転換点となったのは2016年前後です。SamSamやREvil（Sodinokibi）の登場によって、ランサムウェアは手作業の不正行為から組織的なビジネスへと変容しました。この時期から「ランサムウェア開発者は道具を売り、実行者は道具を借りて攻撃する」という分業モデル、すなわちRaaSが本格的に根付き始めます。サーバーサイドエンジニアとして基幹システムの設計に携わってきた経験から言えば、このモデルはクラウドサービスの普及と同じ論理で成立しています。インフラを自前で用意せずサービスとして利用する形態が、犯罪にもそのまま適用されたのです。

RaaSのビジネス構造―オペレーターとアフィリエイトが分業する犯罪フランチャイズ

RaaSは大きく2つの役割から構成されています。マルウェアを開発・管理し、インフラを提供する開発者（オペレーター）と、そのツールを借りて実際の攻撃を行う実行者（アフィリエイト）です。

オペレーターが用意するものは、暗号化エンジン、身代金の交渉・支払いを受け付けるダークウェブ上のポータル、被害組織のデータを公開するリークサイト、攻撃マニュアル、そして24時間対応のサポートチャットです。これは正規のSaaS企業が提供するサポート体制と構造的に変わりません。アフィリエイトはこのインフラを使って標的へのアクセスを確立し、感染させ、身代金を要求します。得られた身代金のうち70〜80%はアフィリエイトが受け取り、残りをオペレーターに支払います。一部のグループは固定給与型をとる場合もありますが、収益の大半がアフィリエイト側に配分される成功報酬モデルが主流です。

この分業体制がRaaSの最大の強みです。

オペレーターは攻撃実行のリスクを負わずにツールを改良し続けられます。アフィリエイトは高価なマルウェア開発コストなしに洗練された攻撃を実行できます。そして万一アフィリエイトが逮捕されても、オペレーターは別のアフィリエイトを確保するだけで活動を継続できます。LockBitはこのアフィリエイト募集を一般向けに公開広告の形式で行っており、2024年2月のOperation Cronos（クロノス作戦）によるインフラ崩壊後も、LockBit 5.0として再編し活動を継続しているのはこの構造の強靱さを示しています。

脅迫の多層化―ダブルからクワドラプルエクストーションまで

初期のランサムウェアは暗号化だけが脅迫手段でした。バックアップを持つ組織は身代金を払わずに済むため、攻撃者にとって収益が不安定でした。この課題を解決するために生まれたのがダブルエクストーション（二重脅迫）です。データを暗号化する前に大量の機密データを窃取し、身代金を払わなければデータを公開すると脅します。バックアップがあっても「データ公開」というもう一つの人質が残るため、被害組織は追い詰められます。

2025〜2026年にかけてはさらに多層化が進んでいます。トリプルエクストーションは、被害組織の顧客・取引先・パートナーに直接接触して圧力をかける手法です。クワドラプルエクストーションは、これに加えて規制当局・報道機関・証券監督当局への通報を脅しの材料にします。当サイトが詳しく追跡しているAiLockは、身代金を支払わなければ規制当局だけでなく競合他社にまで情報を通報すると明示しており、これはクワドラプルエクストーションの典型的な実装です。同グループはChaCha20とポスト量子暗号アルゴリズムNTRUEncryptを組み合わせた高度な暗号化方式を採用しており、将来の量子コンピューターによる解読も想定した設計となっています。

現在活動中の主要RaaSグループの実態

日本の組織への影響を把握するうえで、以下のグループの特徴を押さえておくことが重要です。

Qilinは2025年以降に日本国内で最も多くの被害が確認されているグループです。GoLang製のランサムウェアを使用し、VMware ESXiやHyper-Vなど仮想化インフラを標的とする能力が高く、1回の攻撃で多数の仮想マシンを一括暗号化することが可能です。2025年上半期だけで国内8件以上の被害が当サイトで確認されており、製造業・物流・医療などを中心に攻撃を展開しています。

BlackSuitは2024年に活発化したRaaSグループで、前身となったRoyalランサムウェアからの改称と見られています。マルチステージの攻撃を特徴とし、初期侵入から暗号化までの間に数週間〜数か月かけてネットワーク内部を横断します。2024年6月のKADOKAWA・ニコニコ動画への攻撃では、25万人超のユーザー情報が流出し、サービスが約2か月停止するという国内最大級の被害をもたらしました。

RansomHouseは「恐喝特化型」として分類されるグループで、データを暗号化するよりもデータの窃取と公開脅迫を主たる手段とする場合もあります。2025年10月のアスクルへの攻撃では約1.1TBのデータ窃取を主張し、2026年7月のニチレイ攻撃主張では「Encrypted（暗号化済み）」「EVIDENCE（証拠あり）」のステータスを掲示してきました。ニチレイの場合はIT部門が事実を隠蔽しようとしていると非難する脅迫文も掲示しており、調査中の企業に対して外部からメディア・世論の圧力をかける手法を意図的に使っています。

The Gentlemenは、アフィリエイトへのEDRキラーの提供で知られます。EDRキラーとは、EDR（Endpoint Detection and Response）製品を検出・無効化するツールであり、多くの組織が最後の防衛線として依存するEDR製品を事前に無力化してから暗号化を実行する手法を支援します。EDR製品を導入しているから安全とは言えなくなっているという現実を、このグループの存在が如実に示しています。

INC Ransomwareは米国保健福祉省（HHS）とMITRE ATT&CKが詳細に分析を公表しているグループで、医療機関・公共インフラを重点的に標的とします。日本でも医療・公共セクターへの攻撃が増加しているなか、このグループの手口はセキュリティ担当者として把握しておく必要があります。

新興グループSpiralsは、侵入から完全な暗号化まで24時間未満で完遂することがシマンテック（Broadcom）の分析で判明しています。従来の対応プロセス（侵害検知→エスカレーション→承認→対応）を想定した体制では、この速度に追いつけません。南アジアのIT企業を標的とした事案が確認されており、日本のIT企業も標的圏に入る可能性があります。

日本企業が実際に受けたRaaS被害事例

当サイトが継続的に取材・追跡してきた主要な被害事案を年代順に整理します。

KADOKAWAグループ・ニコニコ動画は2024年6月、BlackSuitによる攻撃を受け、25万人超のユーザー個人情報が流出しました。攻撃はサーバーの停止と再起動の繰り返し、データの段階的な暗号化と流出という複数フェーズで展開されました。サービス停止期間は2か月に及び、売上への直接影響に加えて株価にも打撃を与え、甚大な被害となりました。ニコニコ動画はランサムウェア対応の長期化がユーザー離れを招くことを示した典型的な事例でもあります。

日産Creative Boxは2025年8月、Qilinによる攻撃を受け、3D設計データや写真・報告書を含む4TB超・40万件以上のデータが窃取されたとされています。自動車メーカーのデザイン部門が保有する情報は競争上きわめてセンシティブであり、コア技術の流出が及ぼす中長期的な競争上のダメージは計り知れません。

アスクルは2025年10月にRansomHouseによる攻撃を受け、約1.1TBのデータ窃取が主張されました。最終的に約74万件の個人情報流出の可能性が公表され、良品計画やそごう・西武など同社のシステムを利用する取引先にも影響が及んでいます。

ニチレイは2026年7月にサイバー攻撃によるシステム障害を公表し、冷蔵倉庫の入出庫業務と冷凍食品出荷業務が停止しました。低温物流の取引先約5,000社に影響が波及し、ケンタッキーフライドチキン・イオン・くら寿司など多くの外食・小売チェーンで食材の欠品・遅延が発生しました。物流インフラへの攻撃がサプライチェーン全体を通じて社会的に波及することを、リアルタイムで証明した事案です。

日本交通は2026年7月にAiLockによるサイバー攻撃の主張が確認されており、日本最大のタクシー・ハイヤー事業者が交通インフラへの攻撃ターゲットとなっています。AiLockのリークサイトでは2.9TBの非圧縮データの保有が主張されています（攻撃者側の一方的な主張であり、日本交通が認めたものではありません）。

初期アクセスブローカー（IAB）とEDRキラー|RaaSが育てた周辺エコシステム

RaaSの普及は、それを支える周辺の犯罪産業を育てています。なかでも注目すべきは初期アクセスブローカー（IAB: Initial Access Broker）の存在です。IABは標的組織のネットワークへのアクセス権限を事前に取得し、それをダークウェブ上でRaaSのアフィリエイトに販売する専門業者です。VPN機器の既知の脆弱性を悪用して確立したアクセス、窃取した認証情報によるリモートデスクトップへのログイン権限、フィッシングで仕込んだマルウェアが確立したバックドアなど、様々な形の「侵入済みアクセス」がドル単位で売買されます。ネットワークエンジニアとしての経験から言えば、組織が認識していないVPN機器の脆弱性や、更新されない古い認証情報は、IABにとって格好の商品になります。

EDRキラーはThe Gentlemenのような支援型グループが提供するツールで、多くの組織がEDRを導入したことに対応した「防御の無効化専門ツール」です。マルウェアの検知・遮断だけでなく、正規のドライバーの脆弱性を悪用してカーネルレベルでEDRプロセスを強制終了する機能を持つものも存在します。従来のEPP（Endpoint Protection Platform）に加えてEDRを導入した組織でも、EDRキラーによってその防御が剥がされたうえで暗号化が実行されるケースが増加しており、単一のエンドポイント製品への依存は既にリスクとなっています。

情報システム部門が取るべき実践的な対策

RaaSが示す課題は、技術的な防御の更新と組織的な対応体制の整備の両面に及びます。

エンドポイント防御については、EDRの導入だけでは不十分です。EDRキラーへの対策として、EDRプロセスの改ざん防止機能（Tamper Protection）の有効化と、正規ドライバーの脆弱性悪用を防ぐASR（Attack Surface Reduction）ルールの適用を確認してください。また、複数のセキュリティベンダーのセンサーを組み合わせることで、単一製品が無効化されても検知能力を維持する設計も選択肢となります。

初期アクセスの遮断には、IABが商品として扱うVPN機器・リモートデスクトップ・Webアプリケーションのパッチ管理の厳格化が最優先です。特にVPN機器は認証情報の変更とファームウェアの更新を定期的に実施するとともに、ログの異常なアクセスをSIEMで監視することが基本になります。多要素認証（MFA）は認証情報が漏えいした場合のフェイルセーフとして引き続き有効です。

仮想化インフラの保護はQilinやBlackSuitへの対応として急務です。VMware ESXiやHyper-Vのパッチ適用状況の確認、管理コンソールへのアクセス制御強化、バックアップの隔離（オフラインまたはイミュータブルストレージへの保管）を優先的に実施してください。

インシデント対応体制の整備では、Spiralsが示した24時間以内の攻撃完遂という速度を前提に考える必要があります。承認プロセスに24時間かかる体制では、攻撃が完了してから気づくことになります。緊急時のエスカレーションと隔離判断を現場で完結できる権限委譲と、定期的なシミュレーション訓練が実効性のある体制を作ります。

最後に、RansomHouseのニチレイへの攻撃が示したように、インシデント対応と広報・開示戦略は一体で準備する必要があります。被害企業が調査中として情報を差し控えている間に、攻撃者側がリークサイトで情報を公開して外部圧力をかけてくる手法が定着しています。利害関係者への通知と監督官庁への報告のタイミングを事前に決めておくことが、後手に回らないための準備です。