ランサムウェアグループ「Coinbase Cartel」とは暗号化なしの窃取・恐喝モデルで急拡大|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

「Coinbase Cartel（コインベース・カルテル）」は、2025年9月に活動を開始した比較的新しいサイバー恐喝グループです。ファイルの暗号化を一切行わず、データの窃取と公開の脅迫のみで身代金を要求する手口を特徴とし、活動開始からわずか半年余りで160件を超える被害を主張するまでに急拡大しました。実在の暗号資産取引所Coinbaseとは無関係ながら、その名称を冠している点も特徴です。本記事執筆時点で、米CISA・英NCSC・イスラエルINCDによるこのグループ固有の合同勧告は確認されていないため、複数の民間脅威インテリジェンス企業の分析を主な情報源とし、対策については米CISAが提供する一般的な「#StopRansomware」の指針を参照して整理します。

この記事のサマリー

Coinbase Cartelは2025年9月に活動を開始したサイバー恐喝グループで、ファイルを暗号化する従来型のランサムウェアとは異なり、データの窃取と公開の脅迫のみで身代金を要求する「無暗号化型」の手口を特徴としています。
グループ名は実在の暗号資産取引所Coinbaseとは無関係で、同社とのつながりを示す根拠はないとされています。
セキュリティ企業Hudson Rockの分析によると、Coinbase Cartelは高度なゼロデイ脆弱性や複雑なソーシャルエンジニアリングではなく、もっぱら過去に流出した「インフォスティーラー」由来の認証情報を悪用して、クラウド環境・FTPサーバー・ファイル転送サービスへ侵入しているとされ、確認された被害組織の約8割で、侵害前から該当する認証情報の漏えいが確認されているとされています。
標的業種は医療・技術・運輸・物流分野に集中しており、これらが被害組織全体の過半数を占めるとされています。2025年12月には、アラブ首長国連邦（UAE）の医療機関10件が単月で立て続けに被害を主張されるという、やや異例の集中も確認されています。
セキュリティ企業HivePro社は、Coinbase Cartelを、ShinyHunters・Scattered Spider・Lapsus$の連合体とされる「Scattered Lapsus$ Hunters（SLSH）」の関連組織（アフィリエイト）と評価しています。
日本のIT大手NTTデータも、同グループのリークサイトに標的として掲載されたことがありますが、同社はデータ侵害を否定しています。すべての標的掲載が独立して確認されているわけではない点には留意が必要です。
本記事執筆時点で、米CISA・英NCSC・イスラエルINCDによる、Coinbase Cartel固有の合同勧告は確認されていません。

整理表

項目	内容
活動開始	2025年9月
手口の分類	データ窃取・公開のみによる単一恐喝型（暗号化なし）
名称の由来	実在の暗号資産取引所Coinbaseとは無関係
初期侵入手法	もっぱらインフォスティーラー由来の流出済み認証情報の悪用（Hudson Rockの分析）
被害組織における事前の認証情報漏えい率	約80%（Hudson Rockの分析）
主な標的業種	医療、技術、運輸・物流（被害組織全体の過半数）
主な異例の被害集中	2025年12月、UAEの医療機関10件が単月で被害を主張される
累計の主張被害組織数	160件超（2026年4月時点）
対象業種の幅	17業種（比較対象のPEARは13業種）
上位ランサムウェア・恐喝グループとしての評価	2025年9月・12月に活動量上位10グループ入りと評価する分析あり
関連グループとの評価	Scattered Lapsus$ Hunters（SLSH、ShinyHunters・Scattered Spider・Lapsus$の連合体）の関連組織（アフィリエイト）との評価あり、別名shinysp1d3rとも
日本企業への言及	NTTデータがリークサイトに掲載されたが、同社は侵害を否定
米CISA・英NCSC・イスラエルINCDの合同勧告	本記事執筆時点で確認されず

Coinbase Cartelとは

セキュリティ企業Bitdefenderの分析によると、Coinbase Cartelは2025年9月に初めて観測され、初月だけで14件の被害を主張したサイバー恐喝グループです。同社はこれを、ランサムウェア攻撃全体が、ファイルの暗号化からデータ窃取主体へと進化していく大きな潮流の一部として位置づけています。SOCRadarの分析によると、同グループは盗んだ認証情報を用いて標的システムへ侵入し、被害者が気づかないまま身代金を要求するまで潜伏する、隠密性と迅速な金銭的利益を重視した恐喝モデルを特徴としています。段階的なデータ漏えいの公開や、身代金交渉専用のチャットインターフェースを備えている点も特徴です。

グループ名は暗号資産取引所大手のCoinbaseを連想させますが、SOCRadarの脅威分析企業もHudson Rockも、同社との実質的なつながりを示す根拠はないとしています。標的とする組織の規模は、数百万ドルから数千億ドル規模の売上を持つ企業まで幅広いとされています。

侵入手法の特徴——インフォスティーラー認証情報への依存

Coinbase Cartelの侵入手法について、最も具体的な分析を示しているのが、インフォスティーラー（情報窃取型マルウェア）関連の脅威インテリジェンスを専門とするHudson Rockの調査です。同社によると、多くの被害組織やインシデント対応企業が、この一連の侵害の初期侵入を高度なゼロデイ脆弱性や複雑なソーシャルエンジニアリングによるものと誤って評価してきましたが、実際にはより単純な実態があるとしています。すなわち、Coinbase Cartelは、もっぱら過去に流出した古いインフォスティーラー由来の認証情報を用いて、クラウド環境・FTPサーバー・ファイル転送サービスへ侵入しているというものです。

Hudson Rockは、建築・エンジニアリング大手Aptimや、技術企業RAKSなど、具体的な被害事例を挙げ、いずれのケースでも、侵害が発生するかなり以前から、該当する認証情報が同社の脅威インテリジェンスデータベース上で確認できたと説明しています。同社の分析では、被害組織の多くにおいて、数年にわたり複数の従業員がインフォスティーラーに感染していたことが、侵害の根本原因を特定しにくくしている一因だとしています。セキュリティ企業HivePro社も、確認された被害組織の約80%で、事前のインフォスティーラー感染歴が確認されているとしており、この点は複数の情報源で一致しています。

標的業種の傾向と異例の集中

Bitdefenderの分析によると、Coinbase Cartelの標的は医療・技術・運輸の3業種に集中しており、2025年時点でこれらが被害組織全体の過半数を占めています。医療機関が狙われやすい理由として、個人情報・医療情報の機微性の高さに加え、レピュテーションリスクの大きさが挙げられています。

特に注目されるのは、2025年12月、アラブ首長国連邦（UAE）の医療機関10件が、単月のうちに立て続けに被害を主張されたという、やや異例の集中です。Bitdefenderは、単月でUAE国内の医療機関を10件も侵害するのは通常のパターンからは外れていると指摘しています。SOCRadarの分析でも、累計の被害組織数は2026年4月時点で160件を超え、北米・欧州・アジア太平洋・南米・中東の5地域、17業種にまたがっているとされています。比較対象として挙げられる同様の無暗号化型グループ「PEAR（Pure Extraction and Ransom）」と比較しても、Coinbase Cartelは活動開始翌月以降、毎月上回る被害件数を主張し、対象業種の幅（17業種、PEARは13業種）でも上回っているとBitdefenderは分析しています。

ShinyHuntersとの関連——「Scattered Lapsus$ Hunters」の一角か

セキュリティ企業HivePro社の脅威アドバイザリーは、Coinbase Cartelについて、「Scattered Lapsus$ Hunters（SLSH）」と呼ばれる連合体の関連組織（アフィリエイト運営）だと評価しています。SLSHは、ShinyHunters・Scattered Spider・Lapsus$という、それぞれ別々に活動してきた著名なサイバー犯罪グループの連合体とされ、当サイトでもこれまで、2025年サイバー攻撃の事例や、日本国内でも影響が確認された事例として富士フイルムメディカル、営業管理システムへの不正アクセスで約59万人分の個人情報漏洩の恐れで、その活動を報じてきました。HivePro社の分析では、Coinbase Cartelは「shinysp1d3r」という別名でも呼ばれているとされています。

HivePro社は、Coinbase Cartelが従来型のRaaS（Ransomware-as-a-Service）とは異なる運営形態を取りつつも、リークサイト上に専用のパートナー募集ページを設け、固定報酬制・収益分配制の両方の条件でアフィリエイトを募集していると説明しています。応募には、既存の侵害の証拠の提示が求められるとされています。

日本企業への言及——NTTデータのケース

セキュリティ企業ProvenDataの分析によると、Coinbase Cartelのリークサイトには、日本のIT大手NTTデータも標的として掲載されたことがあります。ただし、同社はデータ侵害を否定しており、監視体制に基づいて対応していると公式に説明しているとされています。ProvenDataは、こうしたリークサイト上の主張のすべてが独立して確認されているわけではない点を明記しており、Coinbase Cartelに限らず、恐喝グループのリークサイトへの掲載自体は、被害の確定的な証拠とはならない点に注意が必要です。

インフラの特徴——追跡の難しさ

セキュリティ企業ProvenDataは、Coinbase Cartelが最小限かつ一貫性のないインフラの痕跡しか残さない点も指摘しています。公開されている報告の範囲では、安定したファイルハッシュ、固定のIPアドレス、永続的なドメインインフラといった、従来型の侵害指標（IOC）に基づく追跡が困難だとされています。この特徴は、企業が自社の防御をIOCベースの検知だけに依存することのリスクを示す事例ともいえます。

CISAの一般的なランサムウェア対策指針

Coinbase Cartel固有の公的勧告は本記事執筆時点で確認されていませんが、米CISAは「#StopRansomware」の枠組みで、ランサムウェア・データ恐喝全般に共通する対策指針を公開しています。同ガイドでは、多要素認証の導入、ソフトウェア・OSの最新化、強固でユニークなパスワードの使用、フィッシング対策の教育などとあわせて、特にCoinbase Cartelのような認証情報の悪用を起点とする攻撃に関連する対策として、漏えいした認証情報の速やかな検知・無効化・変更、特権アカウントの管理の徹底が重視されています。あわせて、ネットワークのセグメント化や、重要データのオフラインバックアップの保持、インシデント対応計画の事前整備も推奨されています。

情報システム部門が確認すべき対策ポイント

自社従業員の端末が、過去にインフォスティーラー型マルウェアへ感染していないか、脅威インテリジェンスサービス等を通じて確認してください。Coinbase Cartelの手口を踏まえると、数年前の感染に由来する認証情報が、現在も悪用されるリスクとして残っている可能性があります。
クラウド環境・FTPサーバー・ファイル転送サービスへのアクセスについて、多要素認証を全面的に導入し、漏えいの可能性がある認証情報を定期的にローテーションする運用を徹底してください。
自社が医療・技術・運輸・物流業界に属する場合、Coinbase Cartelを含む同種の無暗号化型恐喝グループの標的になりやすい業種である点を踏まえ、優先度の高い対策対象として扱ってください。
リークサイトへの自社名の掲載を発見した場合、それ自体を確定的な被害の証拠として扱うのではなく、社内調査を通じて実際の侵害の有無を確認したうえで、対外的な説明を行う体制を整えてください。NTTデータの事例のように、掲載されても侵害を否定するケースがあります。
IOC（侵害指標）ベースの検知だけに依存せず、行動ベースの異常検知（通常と異なるアクセスパターン、大量データのダウンロード等）を組み合わせた監視体制を検討してください。