ランサムウェアグループ SafePayとは非RaaS型で急成長した二重恐喝集団の手口と国内被害事例|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月06日更新日時: 2026年08月06日

SafePayは2024年9月から10月ごろに登場したランサムウェアグループで、登場からわずか半年ほどで世界で最も活発なランサムウェアグループの一つに数えられるまでに急成長しました。米FBIの犯罪統計でも主要なランサムウェア系統の一つとして名前が挙がっており、英国では上場企業への攻撃が規制当局向けの正式な開示情報として公表されています。国内でも47CLUBや美濃工業への攻撃で犯行声明が確認されており、日本企業にとっても他人事ではない脅威となっています。

この記事のサマリー

SafePayは2024年9月から10月ごろに登場した比較的新しいランサムウェアグループです。
多くのランサムウェアグループが採用するRaaS（Ransomware as a Service）方式を取らず、開発・侵入・交渉のすべてを自グループ内で完結させる、中央集権型の運用体制を特徴としています。
米FBIの2025年インターネット犯罪報告書では、Akira、Qilin、Medusaなどと並び、主要なランサムウェア系統の一つとしてSafePayの名前が挙げられています。
英国では、上場企業Microlise社への攻撃が、ロンドン証券取引所の規制情報開示（RNS）を通じて公式に開示されているほか、英国のセキュリティベンダーSophosも、正規VPN認証情報の悪用を起点とした2025年前半のSafePay攻撃を確認しています。
イスラエルのセキュリティベンダーCheck Pointは、2025年第1四半期の時点でSafePayが公表被害数で世界9位のランサムウェア系統になったこと、ドイツでは同四半期の被害組織の24%がSafePay関連だったことなど、詳細な分析を公開しています。
侵入手口としては、フィッシング、正規VPNアカウントの悪用、RDP経由のアクセス、ESXiやCitrix等の仮想化基盤を狙った侵入が確認されており、暗号化と情報窃取を組み合わせた二重恐喝に加え、電話や大量メールによる心理的圧力もかけるとされています。
国内では47CLUB、美濃工業への攻撃でSafePayの犯行声明が確認されており、日本企業も標的になり得ることが示されています。

整理表

項目	内容
初確認時期	2024年9月〜10月ごろ
運用形態	RaaS（アフィリエイト型）ではなく、自グループで開発・侵入・交渉を完結する中央集権型
暗号化方式	ChaCha20、ファイル拡張子は.safepay
ランサムノート	readme_safepay.txt
主な侵入経路	フィッシング、正規VPN／リモートアクセスアカウントの悪用、ESXi・Citrix等の仮想化基盤
恐喝の形態	二重恐喝（暗号化＋データ窃取）、電話・大量メールによる圧力行為も報告
標的の傾向	中小企業・MSP（マネージドサービスプロバイダー）を中心に、専門サービス業・製造業・小売業など
主な被害地域	米国、ドイツ、英国を中心に、日本・イスラエルを含む世界各国
米国での位置づけ	FBI 2025年インターネット犯罪報告書で主要ランサムウェア系統の一つとして記載
交渉インフラ	TorおよびTON（The Open Network）上に設置

SafePayとは何か、他のランサムウェアグループとの違い

SafePayは、多くの現代的なランサムウェアグループが採用するRaaS（Ransomware as a Service）モデルを取らないという点で、他のグループと一線を画しています。RaaSでは、ランサムウェアの開発元がアフィリエイトと呼ばれる実行犯を募集し、身代金の一部を分配する形で攻撃を外部委託するのが一般的です。これに対しSafePayは、暗号化ソフトの開発、標的への侵入、データの窃取、被害者との交渉まで、すべてを自グループ内で完結させる中央集権型の運用体制を取っています。

この体制により、外部のアフィリエイトに依存する場合と比べて、攻撃の一貫性や秘匿性を保ちやすくなっているとみられています。使用される暗号化ソフトは、破綻したLockBitのソースコードを流用・改変したものとされ、TTP（戦術・技術・手順）の面では、活動を停止したConti（コンティ）の手口との類似性も指摘されており、元Contiメンバーが関与している可能性を指摘する研究者もいます。

沿革と急成長の経緯

SafePayが最初に確認されたのは2024年9月から10月ごろで、これはLockBitやALPHV/BlackCatといった大手ランサムウェアグループが法執行機関の摘発を受けて弱体化した直後の時期にあたります。こうした空白を埋める形で、新興グループの一つとしてSafePayが台頭しました。

2025年第1四半期の時点で、SafePayは77件の被害を公表し、当時の主要ランサムウェア系統の中で9番目に活発なグループとされていました。その後も勢いは衰えず、2025年5月には単月で最も活発なランサムウェアグループとなり、2026年に入ってからも被害件数は増加を続けています。ランサムウェアの被害を集計する監視プラットフォームでは、2026年8月時点でSafePayの累計公表被害組織数が500件を超えていることが確認できます。

侵入手口・技術的特徴

SafePayの侵入手口としては、カスタムローダーを用いたフィッシングメール、ShodanなどのインターネットスキャンツールやOSINTツールを使った標的の事前偵察、辞書攻撃によるパスワード総当たりなどが報告されています。あわせて、パッチ未適用のVMwareやCitrix製品、正規のVPNアカウントの悪用も、侵入経路として繰り返し確認されています。イスラエルのCheck Pointによる分析では、ダークウェブ市場で購入したとみられる正規の認証情報を使いVPN経由でアクセスしたうえで、RDP（リモートデスクトップ）経由で内部に展開していく多段階の手口が報告されています。

英国のSophosも、正規VPN認証情報の悪用を起点とした攻撃グループの活動がSafePayランサムウェアの展開につながった事例を確認しています。

侵入後は、Windows Defenderなどのセキュリティ機能を、LOLBins（環境寄生型の正規ツール）を使って手動で無効化し、UACバイパスによる権限昇格を経て、WinRARやFileZillaといった正規ツールでデータをアーカイブ化・外部送信する手口が確認されています。暗号化にはChaCha20アルゴリズムが用いられ、ファイルの拡張子は.safepayに、ランサムノートの名称はreadme_safepay.txtに、それぞれ統一されています。実行時にはシャドウコピーの削除やデバッガ検知、セキュリティ対策ソフトに関連するプロセスの停止など、復旧や検知を妨げる典型的な手口も備えています。特徴的な点として、感染端末のキーボード言語設定を確認し、旧ソ連圏で使われるキリル文字配列が検出された場合は実行を停止する挙動が確認されており、東欧圏を拠点とする、または東欧圏の攻撃者と何らかの関係を持つグループである可能性を示唆しています。暗号化ソフト自体は2022年後期のLockBitのコードとの類似性が指摘されているほか、ALPHVやINC Ransomの手法を取り入れている形跡もあるとされています。

二重恐喝と圧力手法

SafePayは、データを暗号化するだけでなく、事前に窃取したデータの公開を示唆して支払いを迫る、二重恐喝の手法を一貫して採用しています。これに加えて、電話による直接的な働きかけや、大量のメールを送りつける、いわゆるメールボム行為によって被害者に心理的な圧力をかける手法も報告されており、単なるシステム上の攻撃にとどまらない、対人的な圧力行為を伴う点が特徴です。

主な被害事例（海外）

SafePayの名前が広く知られるきっかけとなったのが、2024年10月末に発生した英国の運行管理・テレマティクス企業Microlise社への攻撃です。Microlise社はロンドン証券取引所の規制情報開示（RNS）を通じて、2024年10月31日にサイバーインシデントの発生を、同年11月18日に復旧状況の続報を、それぞれ公式に公表しています。この攻撃では、同社の顧客であるDHLや、英国司法省が利用する囚人護送車両の追跡・非常通報システムにも一時的な影響が生じたと報じられています。SafePayはダークウェブ上のリークサイトで同社を被害企業として掲示し、1.2テラバイトのデータを窃取したと主張していました。

このほか、米国のIT製品・サービス販売企業Ingram Micro社に対しても、3.5テラバイトのデータを窃取したとする声明が出されるなど、大手企業も標的になっています。イスラエルのCheck Pointの分析によると、2025年第1四半期時点でSafePayの被害は米国・英国・ドイツに集中しており、なかでもドイツでは同四半期に報告されたランサムウェア被害組織のうち24%がSafePay関連で、単一グループとしては国別で最も高い集中度だったとされています。イスラエル国内でも、2026年8月にロジスティクス関連企業がSafePayの被害企業としてダークウェブ上のリークサイトに掲示されたことが、ランサムウェア監視プラットフォーム上で確認されており、標的が特定の国・地域にとどまらないことを示しています。

国内での被害事例

日本国内でも、SafePayによる犯行声明が複数確認されています。ネットスーパー事業を展開する47CLUBでは、2025年12月ごろ、SafePayが同社に関連するとみられるドメインをダークウェブ上のリークサイトに掲示し、被害企業として取り上げていたことが確認されています。詳細は47CLUBがサイバー攻撃による個人情報漏洩の恐れとお詫びを通知、およびその後の経緯は47CLUB、ランサムウェアの被害を公表後にサービス終了を発表で解説しています。

また、製造業の美濃工業では、2025年10月1日から4日にかけてSafePayによる攻撃を受け、Active Directoryのドメインコントローラーや仮想化基盤（ESXi）を含む主要な業務系サーバーが暗号化されたほか、主要ファイルサーバーからのデータ窃取も確認されています。侵入経路は、一時利用目的で作成されたまま削除されずに残っていた、強度の低いFortiGate SSL-VPNアカウントの悪用でした。経緯の詳細は美濃工業へのサイバー攻撃の情報漏洩「極小」から「相当量」-ランサムウェアグループSafePayが犯行声明、最終報告の内容は美濃工業、ランサムウェアによるサイバー攻撃の被害最終報告を公表、個人情報漏洩の観点からの続報は美濃工業、サイバー攻撃で従業員等の個人情報漏洩の恐れをご参照ください。

美濃工業の事例は、既知の脆弱性の悪用ではなく、削除し忘れた一時アカウントという運用上の見落としが侵入の起点になった点で、多くの組織にとって示唆に富む事例といえます。

情報システム部門が確認すべき対策ポイント

一時的な利用目的で作成したVPNアカウントやテスト用アカウントが、利用終了後も削除されずに残っていないか、定期的な棚卸しを行ってください。美濃工業の事例のように、強度の低い認証情報が長期間放置されることは、侵入の起点になり得ます。
VPN・リモートアクセス機器について、多要素認証の導入状況と、ログイン試行のログ監視体制を確認してください。
ESXiやCitrixなど仮想化基盤・境界機器のパッチ適用状況を点検し、インターネットへの露出範囲を見直してください。
シャドウコピーの削除やセキュリティ対策ソフトの停止といった典型的な挙動を検知できる、EDR等の監視体制を整備してください。Check Pointは検知の切り口として、Windows Defenderの設定が手動で変更されていないか、UACバイパスを示す挙動がないか、WinRARが通常とは異なるコマンドラインオプションで実行されていないかを監視することを推奨しています。
ダークウェブのリークサイトに自社名やドメインが掲示されていないかを確認する監視体制を持つことは、早期の状況把握に役立ちます。ただし、掲示自体は交渉圧力を目的とした主張である場合も多く、掲示内容がただちにデータ流出の確定を意味するとは限らない点にも留意してください。
電話や大量のメールによる圧力行為を受けた場合の対応方針（誰が対応するか、法執行機関への相談基準など）を、あらかじめ社内で整理しておくことをおすすめします。