ランサムウェア グループ MetaEncryptorとは2023年登場後に再浮上したグループ LostTrustとの関連

ランサムウェアグループ「MetaEncryptor（Metaencryptor）」が2026年に再び活動を活発化させており、実際に日本企業へのサイバー攻撃を主張しています。

米Palo Alto Networks Unit 42や欧州CERT-EUの資料では、2023年にリークサイト上で活動が確認されたランサムウェアオペレーションとして記録されています。その後、LostTrustと呼ばれる別ブランドとの強い技術的関連が指摘され、一時的に活動が目立たなくなったものの、2025年から2026年にかけてMetaEncryptor名義の掲載が再び増えています。

本記事では、米国、英国、EU、イスラエルなどの政府機関や大手セキュリティ企業の情報を基に、MetaEncryptorの活動時期、LostTrustとの関係、2026年の再浮上、現在確認できる攻撃手法と未確認事項を整理します。

MetaEncryptorのサマリー

• 確認済み：MetaEncryptorは2026年に登場した新規グループではなく、少なくとも2023年8月にはリークサイト上で活動が確認されています。
• 確認済み：Palo Alto Networks Unit 42は、2023年の新規ランサムウェアリークサイトの一つとして「LostTrust（MetaEncryptor）」を掲載し、最初の投稿を2023年8月16日と記録しています。
• 確認済み：CERT-EUは2023年の欧州ランサムウェア活動をまとめた資料で、MetaEncryptorとLostTrustの双方を活動グループとして掲載しています。
• 確認済み：SentinelOneは、LostTrust、SFile、Mindware、MetaEncryptorのコードや暗号化処理、リークサイトに複数の共通点があると分析しています。
• 分析：LostTrustをMetaEncryptorのリブランドまたは後継とみる調査は複数ありますが、同一運営者であることを政府機関が公式に確認したものではありません。
• 確認済み：英NCC Groupは2023年9月、LostTrustが53件のリークサイト掲載を行い、同月のランサムウェア活動で2番目に多かったと報告しています。
• 確認済み：同じNCC Groupの2023年10月集計ではLostTrustの新規掲載は0件となっており、活動量の急激な変動が確認されています。
• 確認済み：AhnLab ASECは2026年6月、MetaEncryptorのリークサイト掲載を31件と集計し、同月の上位10グループに含めています。
• 注意点：リークサイト掲載件数は攻撃者側の主張を集計したもので、31組織すべての侵害や情報流出が第三者によって確認されたことを意味しません。
• 確認済み：MetaEncryptorはデータ窃取と暗号化を組み合わせる多重恐喝型のオペレーションとして複数の調査機関から扱われています。
• 未確認：2026年現在の初期侵入経路、悪用する脆弱性、アフィリエイト構成、攻撃インフラの詳細は権威ある公開情報からは限定的です。
• 未確認：ロシア、中国、イランなど特定国家との関係を示す信頼できる公的な帰属情報は確認できません。
• 公的機関：8月25日時点でCISA、FBI、英国NCSC、イスラエルINCDによるMetaEncryptor固有の2026年向け注意喚起は確認できませんでした。

項目	内容
名称	MetaEncryptor / Metaencryptor
初期の公的観測	2023年8月ごろ
種別	ランサムウェア／データ窃取を伴う多重恐喝
主な対象	特定業種に限定されない。2023年は欧州、とりわけドイツの比率が高いとの分析あり
関連が指摘される名称	LostTrust、SFile、Mindware
2026年の活動	AhnLab ASECが2026年6月にDLS掲載31件を集計
日本への主張	2026年8月23日に大手日本企業をリークサイトへ掲載
被害確認	セールスフォース内の情報を確認
初期侵入経路	2026年の活動について信頼できる公開情報では特定できず
特定CVE	MetaEncryptor固有の侵入経路として確定したCVEは確認できず
国家帰属	確認できず
CISA/FBI固有アドバイザリ	8月25日時点で確認できず
NCSC固有アドバイザリ	8月25日時点で確認できず
INCD固有アドバイザリ	8月25日時点で確認できず
専用復号ツール	No More RansomでMetaEncryptor/LostTrust専用ツールを確認できず

MetaEncryptorは2023年から確認されているグループ

MetaEncryptorは、2026年に初めて現れたランサムウェアグループではありません。

Palo Alto NetworksのUnit 42は、2023年に新たに確認されたランサムウェアリークサイトを整理した資料で、「LostTrust（MetaEncryptor）」を2023年8月16日に最初の投稿が確認されたグループとして記録しています。

GuidePoint SecurityのGRITも2023年8月の「Emerging」グループとしてMetaEncryptorを取り上げ、同月に11組織をリークサイトへ掲載したと報告しました。

WithSecureの2023年8月の調査では、8月17日に12件の被害組織投稿がまとめて作成されており、そのうち5組織がドイツ企業だったとしています。

このため、MetaEncryptorは2023年に短期間だけ確認された小規模グループではなく、当時から欧州を中心に複数組織をリークサイトへ掲載していたランサムウェアオペレーションと位置付けられます。

ただし、リークサイトの投稿日と実際の侵害日は一致しません。複数の被害主張が一日にまとめて掲載されることもあり、投稿件数をそのまま同日に発生したサイバー攻撃件数と扱うことはできません。

CERT-EUも2023年の欧州ランサムウェア活動にMetaEncryptorを掲載

EU機関向けCSIRTであるCERT-EUは「Threat Landscape Report 2023」で、2023年に欧州で少なくとも55のランサムウェアオペレーションを確認し、オープンソースとリークサイト情報に基づく被害主張を906件集計しています。

同報告の「Number of victims of the top RaaS groups in Europe, 2023」にはMetaEncryptorが掲載され、LostTrustも別名義で掲載されています。

CERT-EUのグラフから、MetaEncryptorは少なくとも年間5件を超える欧州組織への被害主張を行っていたことが分かります。

また、CERT-EUは2023年の欧州全体について、英国が最もランサムウェア被害主張の多い国で、ドイツ、フランス、イタリア、スペインが続いたとしています。

業種別では製造業が24％で最多となり、法律・専門サービス、建設・エンジニアリングが続きました。

ただし、これは欧州ランサムウェア全体の統計です。MetaEncryptorが製造業だけを狙う、あるいは英国だけを重点的に狙うと結論付ける根拠にはなりません。

LostTrustとの強い関連、SFile・Mindwareの系譜も指摘

MetaEncryptorを理解する上で重要なのが、2023年9月に登場した「LostTrust」との関係です。

米SentinelOneはLostTrustのマルウェアを解析し、SFileとMindwareから発展したランサムウェアであり、MetaEncryptorと似た運用・攻撃手法を持つと分析しました。

同社が確認した主な共通点は、暗号化処理に利用するコード、対象ファイル・除外対象の扱い、ランサムノート、バイナリ内部の文字列などです。

さらに、LostTrustのTor上のリークサイトはMetaEncryptorのサイトと非常によく似ており、レイアウトだけでなく連絡に使用するTOX情報も一致していたとSentinelOneは報告しています。

Palo Alto Networks Unit 42も2023年のランサムウェア分析で「LostTrust（MetaEncryptor）」と一括して表記しています。

これらの情報から、LostTrustとMetaEncryptorが単なる無関係な模倣関係ではなく、同じコード系譜や運用基盤を共有している可能性は高いと考えられます。

一方、同一人物・同一犯罪組織が完全に同じ体制で運営していることを、FBIやEuropolなどの法執行機関が公式に帰属させた情報は確認できません。

そのため、「LostTrustはMetaEncryptorそのもの」と断定するより、「リブランドまたは後継関係が複数の分析で指摘されている」と表現する方が適切です。

英NCC Group、LostTrustは2023年9月に53件を掲載

英国に本拠を置くNCC Groupは2023年9月の脅威分析で、同月にリークサイトへ掲載されたランサムウェア被害主張を514件と集計しました。

このうちLostTrustは53件、約10％を占め、LockBitに次ぐ2番目の規模となりました。

NCC GroupはLostTrustを「新たに形成された脅威アクター」と説明し、既存のランサムウェアグループで一般的となった二重恐喝を採用しているとしています。

興味深いのは、その翌月です。

NCC Groupの2023年10月レポートでは、LostTrustによる新たな被害主張は0件となりました。

9月に53件を一気に掲載した後、翌月には活動が観測されなくなるという変動は、ランサムウェアグループのブランド名だけで活動実態を追う難しさを示しています。

運営者がブランドを変更する、別のリークサイトを利用する、活動を一時停止する、アフィリエイトが別のRaaSへ移動するといった可能性があるためです。

2026年6月にMetaEncryptor名義で31件、再浮上

2026年に入り、MetaEncryptor名義の活動は再び増えています。

韓国AhnLabのASECが公開した2026年6月のランサムウェア動向では、MetaEncryptorのDLS掲載が31件確認されました。

同月はQilinが83件、DireWolfが68件、WorldLeaksが52件、Akiraが49件、LockBit 5.0が47件、Novaが45件で、MetaEncryptorとPlayがそれぞれ31件でした。

この集計から、MetaEncryptorが2026年6月時点で再び主要なリークサイト活動グループの一つとして観測されていることが分かります。

ただし、ASECの数字はDLS、つまり攻撃者側のデータリークサイトに掲載された件数を基にした脅威動向です。

「31件のランサムウェア被害が独立したフォレンジック調査で確認された」という意味ではありません。

ランサムウェアグループは、過去のデータを再掲載したり、実際の侵害規模を誇張したりする場合があります。DLS掲載数は脅威活動を追う指標として有用ですが、確認済み被害件数とは分けて扱う必要があります。

日本企業への犯行声明を確認

MetaEncryptorのリークサイトで日本企業の犯行声明を確認できます

さらに同時期には米国やドイツなど複数国の企業についてもMetaEncryptor名義の掲載が確認されています。

2026年の侵入経路は不明、過去TTPをそのまま当てはめない

MetaEncryptorについては、2023年のマルウェアサンプルやLostTrustとのコード関係を分析した技術資料が存在します。

SentinelOneは、LostTrustとMetaEncryptorの系譜にあるランサムウェアについて、Windows環境でネットワーク共有を暗号化する機能や、暗号化処理を妨げるサービスを停止する仕組みなどを分析しています。

一方、2026年に再浮上しているMetaEncryptorについて、初期アクセスにどの脆弱性やサービスを使うのかを裏付ける新しい一次調査は限定的です。

CVE、VPN機器、RDP、フィッシング、窃取認証情報など、一般的なランサムウェアの侵入経路を「MetaEncryptorの手口」として断定することはできません。

2023年のサンプルに含まれるIoCや暗号化動作についても、2026年の攻撃で同じツールが利用されている保証はありません。

検知ルールや脅威ハンティングでは、過去IoCだけではなく、不審な認証、権限昇格、大量ファイルアクセス、外部へのデータ転送、バックアップやセキュリティ機能への操作など、行動ベースの監視を併用する必要があります。

国家帰属は確認されず、ロシア系などと断定できない

8月25日時点で、MetaEncryptorを特定国家の政府や情報機関と結び付ける公的な帰属情報は確認できませんでした。

FBI、CISA、英国NCSC、CERT-EU、イスラエル国家サイバー総局などの公開情報にも、MetaEncryptorをロシア、中国、イランなどの国家支援グループとして特定する記述は確認できません。

ランサムウェアグループでは、ロシア語圏の犯罪エコシステムとの関連が語られることがありますが、使用言語、被害地域、リークサイトのホスティング先などだけで国家関与を断定することはできません。

MetaEncryptorについては現時点で「金銭目的のランサムウェア／恐喝活動」と見るのが妥当で、国家関与については未確認です。

復号ツールは確認できず

欧州刑事警察機構（Europol）などが支援するNo More Ransom Projectの公開復号ツール一覧を確認しましたが、8月25日時点でMetaEncryptorまたはLostTrust専用として掲載された復号ツールは確認できませんでした。

No More Ransomは、すべてのランサムウェアに復号手段が存在するわけではないとしており、新しい鍵やツールが追加されるため継続的な確認を推奨しています。

感染が疑われる場合、暗号化ファイルを破棄したり、攻撃者提供のツールを直ちに実行したりするのではなく、フォレンジック調査に必要な証拠を保全し、専門家や警察へ相談することが重要です。

情報システム部門への示唆

MetaEncryptorで注意すべきなのは、特定のIoCや特定の脆弱性だけを追うことではありません。

2023年にMetaEncryptorが登場し、LostTrustとの関係が指摘され、その後MetaEncryptor名義が再び2026年に増えている状況は、ランサムウェアの「ブランド名」と実際の攻撃者・ツール・アフィリエイトが必ずしも一対一ではないことを示しています。

情報システム部門では、脅威インテリジェンスでグループ名を追跡しつつも、次の点を優先する必要があります。

第一に、インターネットへ公開しているVPN、リモートアクセス、Webアプリケーション、管理画面を継続的に棚卸しし、既知脆弱性とサポート切れ製品を早期に把握します。

第二に、認証情報が窃取された場合に備え、外部アクセスや管理者アカウントへ多要素認証を適用し、通常と異なる地域・端末・時間帯からのログインを監視します。

第三に、ランサムウェアを「暗号化」だけで捉えないことが重要です。MetaEncryptorは多重恐喝型として扱われており、システム停止が起きなくてもデータ窃取が先行する可能性を想定する必要があります。大量ファイル読み込み、圧縮、外部転送などの異常を監視します。

第四に、バックアップは本番環境から論理的・物理的に分離し、定期的な復元テストを実施します。バックアップが存在するだけでは、復旧時間や業務継続性を保証できません。

第五に、リークサイト掲載を検知した場合でも、攻撃者の主張をそのまま事実認定しないことが重要です。社内ログ、EDR、ネットワーク通信、クラウド監査ログなどから侵害の有無を独立して検証し、公表時も「犯行声明」「情報流出の可能性」「漏えい確認」を明確に分ける必要があります。

セキュリティ対策Labでは、他のランサムウェアグループの活動や2026年の国内外の被害事例についても「2026年 ランサムウェアの事例-国内・海外の被害を解説」で整理しています。

出典

• June 2026 Ransomware Trend Report – AhnLab ASEC
• Ransomware Retrospective 2024: Unit 42 – Palo Alto Networks
• LostTrust Ransomware: Latest Multi-Extortion Threat Shares Traits with SFile and Mindware – SentinelOne
• NCC Group Monthly Threat Pulse – September 2023 – NCC Group
• Ransomware attacks up 81% year-on-year in October – NCC Group
• Threat Landscape Report 2023 – CERT-EU
• #StopRansomware Guide – CISA
• Ransomware – FBI
• Guidance for organisations considering payment in ransomware incidents – UK National Cyber Security Centre
• Israel National Cybersecurity Strategy – Israel National Cyber Directorate
• Preparing for and responding to a ransomware incident – Israel National Cyber Directorate
• Decryption Tools – No More Ransom Project
• 2026年 ランサムウェアの事例-国内・海外の被害を解説 – セキュリティ対策Lab