ランサムウェア グループ「Exitium（エグジティウム）」とは

ランサムウェアグループ「Exitium（エグジティウム）」は、2026年3月に海外の脅威インテリジェンス監視サービスで確認された恐喝グループです。Tor上のリークサイトを通じて米国、ブラジル、台湾の組織への侵害を主張しており、医療機関、自治体関連機関、農業・食品、エネルギー関連の組織名が掲載されています。

このうち、米国の医療機関Gastroenterology & Hepatology of Central New Yorkは9月、3月に第三者が同院のシステムへ不正アクセスし、患者の個人情報や医療情報を取得したことを公式に認めました。ただし、医療機関の公表資料は攻撃者をExitiumと特定しておらず、リークサイトに掲載された患者数がそのまま確定した被害人数を意味するわけではありません。

海外調査では、Exitiumが情報の持ち出しを材料に金銭を要求する活動に加え、.exitiumという拡張子を付与する暗号化型マルウェアも報告されています。ただし、リークサイトを運営する集団と、解析されたマルウェアの運用主体・開発者が同一であるかは、現在の公表情報だけでは断定できません。

Exitiumの活動サマリー

• 2026年3月中旬にランサムウェア監視サービスで追跡が始まった新興グループです。
• VULONEが10月10日更新のグループページで確認した主なリークサイト掲載先は、米国2組織、ブラジル1組織、台湾1組織の計4件です。
• SOCRadarは10月8日時点で10件の登録を表示していますが、表示名の重複などがあり、10組織の侵害が立証されたことを意味しません。
• 米国のFannin Central Appraisal Districtについては、攻撃者が「400GBのデータを持ち出した」と主張しています。
• 米国のGastroenterology & Hepatology of CNYについては、攻撃者が16万7,303人の患者データを保有すると主張しています。数字は公式に確定した漏えい人数ではありません。
• 同医療機関は2026年9月、不正アクセスおよび個人情報・医療情報の取得を公式に公表しました。ただしExitiumの関与は公式資料で明記されていません。
• 海外のマルウェア調査では、暗号化ファイルの拡張子.exitium、身代金要求文書YOU ARE UNDER ATTACK!.html、168時間以内の連絡要求が報告されています。
• グループ固有の初期侵入経路、使用CVE、暗号化アルゴリズム、RaaS運営形態については、出典ごとの主張と検証の程度に差があります。

リークサイトに掲載された主な組織と攻撃者の主張

この4件は国も業種も異なります。特定の産業だけを狙った集団と判断する材料はありません。一方、4件からグループ全体の攻撃頻度、技術力、継続的な活動規模を推計することもできません。

SOCRadarは「Ikron Corp」や匿名化された「Classified」の掲載も記録し、10月8日時点で10件の登録数を示しています。しかし、「Ming Hwei Energy」と「Ming Hwei Energy Co., Ltd.」のように同じ組織を指す可能性のある記録が別々に表示されています。集計ソースによって件数が異なるため、本記事では10件を「10社の実被害」と換算していません。

米医療機関は情報取得を公式確認―Exitiumの犯行声明との違い

Exitiumの活動を調べるうえで、Gastroenterology & Hepatology of Central New Yorkの事案は、攻撃者の主張とは独立した公表がある点で重要です。

同医療機関の「Notice Regarding Data Security Incident」によると、2026年3月6日頃、第三者がネットワーク上の一部システムへ不正アクセスしました。外部専門家によるフォレンジック調査とファイルの精査を経て、8月28日、患者の個人情報または保護対象の医療情報を含む記録が第三者に取得されたと判明しています。9月17日には対象者への通知を開始しました。

対象となった情報の種類には、氏名、生年月日、米国の社会保障番号（SSN）、診療記録番号、電話番号、住所が含まれます。ただし、全員について同じ項目が漏えいしたわけではありません。医療機関は地元の法執行機関とFBIへ通報し、対象者に信用監視サービスを案内しています。

一方、Exitium側のリークサイトでは、患者16万7,303人のデータや社会保障番号12万4,761件などを保有すると主張していました。こうした数字は攻撃者自身が発信したもので、医療機関の通知に同じ件数が確定値として示されているわけではありません。また、医療機関の公式通知はExitiumという集団名を挙げていません。

したがって、公式に確認できた「不正アクセスと情報の取得」と、Exitiumによる「犯行主体・件数に関する主張」は、別々の情報として評価する必要があります。

Exitiumの暗号化型マルウェア―拡張子、身代金要求文書、168時間の期限

海外のセキュリティ調査サイトPCRiskは、VirusTotalに投稿されたマルウェアサンプルを調べ、Exitiumという名称の暗号化型マルウェアを報告しています。暗号化されたファイルには.exitiumが付与され、YOU ARE UNDER ATTACK!.htmlという身代金要求文書が作成されます。

要求文書は経営層に向けた文面で、暗号化したとするファイルの回復を材料に金銭を要求します。攻撃者との連絡にはToxというメッセージングサービスを指定し、168時間（7日）以内に連絡しなければファイルへ再びアクセスできなくなると脅迫しています。法執行機関へ相談しないよう求める記述もありますが、これは攻撃者による圧力であり、事実として受け入れるべき案内ではありません。

グループ側のリークサイトへの掲載による情報暴露の脅迫と、端末・サーバー上のファイル暗号化は、被害組織に異なる圧力を与えます。バックアップで復旧できても、すでに持ち出された情報の削除や回収が保証されるわけではありません。

同じ拡張子から攻撃者を特定できるわけではない

VirusTotalは2026年4月6日公開の技術更新で、独自に「MOONBOX」と識別するC++製ランサムウェアのサンプルについて、.exitiumという拡張子や同名の身代金要求文書を使用する場合があると説明しています。MOONBOXではChaCha20によるファイル暗号化やRSA公開鍵を利用した鍵保護などの解析結果も報告されています。

ただし、この解析だけで「Exitiumのリークサイト運営者がMOONBOXを使用した」「Exitiumのすべての攻撃が同一の暗号化方式だった」と断定することはできません。拡張子や要求文書は複数のサンプルで流用される場合があるため、マルウェアの識別と攻撃グループへの帰属は分けて検証します。

SOCRadarはExitiumをRaaSとして説明し、複数のMITRE ATT&CK技法も掲載しています。一方、豪州Red Piranhaの4月の分析では、関連するアフィリエイト募集やRaaS運営体制を示す公開証拠は確認されていません。特定の侵入経路、RaaSの分業形態や個々の攻撃で使われたツールについては、現時点で確証のある記述に限定する必要があります。

情報窃取とリークサイトを軸にした恐喝への対策

Exitiumの掲載事例は、端末の暗号化だけでなく、外部へ持ち出された情報の公開を脅迫材料にしている点が共通しています。海外のRed Piranhaもデータ窃取型の恐喝を重視した監視を提案しています。

この種の活動への対応では、暗号化ファイルが生成されてから初めて検知する体制では不十分です。米CISAの#StopRansomware Guideに沿って、企業の情報システム部門とCSIRTは次の項目を点検できます。

• 外部送信の監視：業務システムやファイルサーバーから通常と異なる大量のデータが転送されていないか、プロキシ、DNS、クラウド監査ログ、送信量の変化を確認します。
• 特権とリモートアクセスの管理：VPN、管理者、クラウドストレージのアカウントにフィッシング耐性のあるMFAを適用し、共有・退職済みアカウントや不要な権限を洗い出します。
• 機密データの配置把握：患者情報、顧客データ、設計・契約資料がどのサーバーや委託先に保存され、誰にアクセス権があるかを把握します。
• 復旧と漏えい調査を別々に準備：オフラインまたは改ざん耐性のあるバックアップの復旧試験に加え、窃取された情報の範囲を調査するためのログ保全、関係機関への報告、対象者通知の手順を用意します。
• 脅威の照合：.exitiumなどの拡張子や身代金要求文書が検出された場合、ファイルハッシュ、実行履歴、ネットワーク通信などを合わせて分析し、文字列だけでExitiumに帰属させないようにします。

本件のような恐喝グループの監視では「リークサイトに企業名が載った」「ファイルが暗号化された」「企業が漏えいを認めた」は、それぞれ異なる意味を持ちます。被害の範囲と攻撃者の関与は、企業の通知、フォレンジック調査、信頼できるマルウェア解析によって段階的に確認する必要があります。

ランサムウェアの暗号化と情報暴露を組み合わせる一般的な攻撃構造は、セキュリティ対策Labのランサムウェアの仕組みと対策でも整理しています。

出典

• Exitium ransomware group profile – VULONE（2026年10月10日更新）
• exitium Ransomware Group Profile – SOCRadar（2026年10月8日更新）
• Threat Intelligence Report April 14–20, 2026 – Red Piranha
• Notice Regarding Data Security Incident – Gastroenterology & Hepatology of Central New York（公式通知PDFの公開写し）
• Gastroenterology & Hepatology of CNY Listed by Exitium – GalaxyWarden（攻撃者の主張として収録）
• Fannin CAD Listed by Exitium – GalaxyWarden（攻撃者の主張として収録）
• Exitium ransomware – PCRisk（マルウェアサンプル調査、2026年4月20日更新）
• April 6th, 2026 – VirusTotal Threat Intelligence Release Notes（MOONBOX解析）
• #StopRansomware Guide – CISA
• Exitium group – ransomware.live（グループ監視ページ）