ランサムウェアグループ Blackoutとは実態と対策|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月25日更新日時: 2026年07月25日

ランサムウェアグループ Blackoutは、2024年初頭からデータリークサイト上で活動が報告されるようになった新興の恐喝型グループです。現時点で、FBI・CISA、英国NCSC、イスラエル国家サイバー総局がBlackout単体を対象にした公開アドバイザリを出している状況は確認できません。

一方で、米国のGuidePoint Security、英国のNCSC認定インシデントレスポンス事業者であるZensec、イスラエルのCyberintなど、権威性のある民間インテリジェンスではBlackoutの被害主張や活動形態が断片的に整理されています。

本稿では、攻撃者側のリークサイトURLやスクリーンショットは掲載しません。攻撃者の一方的な主張を拡散するよりも、日本企業の情報システム部門やリスク管理部門が、どの程度の脅威として見ればよいのかを整理することに重点を置きます。

【サマリー】

Blackoutは、公開情報ベースでは2024年2月ごろから被害組織の掲載が確認された新興ランサムウェアグループです。
被害内容として、医療機関やカナダ企業への暗号化・データ窃取を攻撃者側が主張していますが、未確認情報は確定事実として扱うべきではありません。
米英イスラエルの公的機関はBlackout単体ではなく、ランサムウェア全般への対策、身代金不払い、情報共有、制裁リスクを強調しています。
Blackoutの技術情報やIOCは公的アドバイザリとして広く整理されておらず、既存のランサムウェア対策を行動ベースで運用する必要があります。
日本企業にとっては、医療・製造・交通・ITなどの業務停止リスクと、二重恐喝による情報漏洩リスクの双方を想定した備えが重要です。

項目	内容
名称	Blackout
分類	ランサムウェアグループ、二重恐喝型のデータ恐喝グループ
公開情報上の観測時期	GuidePoint Securityは2024年2月27日に専用データリークサイトへ最初の2件が掲載されたと報告
既存名称との関係	2022年ごろから地下フォーラムでBlackout名のランサムウェア販売投稿が観測されているが、2024年以降のリークサイト運営主体と同一かは不明
主な被害主張	フランスの医療機関、カナダ企業などへの暗号化・データ窃取を攻撃者側が主張
サンプルデータの公開状況	民間インテリジェンスではデータリークサイト上の被害掲載が報告されているが、本稿では攻撃者サイトを直接確認・掲載しておらず、サンプルの真正性は確認していません
公的機関の名指し勧告	本稿執筆時点で、FBI・CISA、英国NCSC、イスラエル国家サイバー総局によるBlackout単体の公開勧告は確認できません
典型的な脅威	フィッシング、認証情報悪用、インターネット公開システムの侵害、データ窃取、暗号化、復旧妨害
日本企業への影響	日本企業への直接的な被害主張は本稿確認範囲では限定的ですが、新興グループによる業種横断型の恐喝リスクとして警戒が必要です
本稿の確認範囲	2026年7月23日に、米国・英国・イスラエルの公的機関および権威性のある民間インテリジェンス情報を確認

Blackoutの概要

Blackoutは、LockBitやAkiraのように広く名前が知られている大規模ランサムウェアグループと比べると、公開情報がまだ少ないグループです。

GuidePoint Securityの2024年2月のランサムウェアレポートでは、Blackoutが同年2月27日に専用データリークサイトへ最初の2件の被害組織を掲載したとされています。

注意したいのは、Blackoutという名称が必ずしも一つの技術的系統を意味しない点です。

GuidePoint Securityは、2022年ごろから地下フォーラムやマーケットでBlackout名のランサムウェア販売投稿が観測されていたことを指摘しつつ、2024年にデータリークサイトで観測されたBlackoutと、過去に売買されていたランサムウェアが同じ亜種・同じマルウェアファミリーなのか、単に同じ名前を使っているだけなのかは不明だと整理しています。

被害主張は攻撃者側の一方的な情報として扱う必要がある

イスラエルのCyberintは、Blackoutの初期の被害主張として、フランスの医療機関 Centre Hospitalier d’Armentièresに対して100台超のサーバーやワークステーションを暗号化し、90万人超の患者データを含むデータベースを窃取したとする攻撃者側の主張を紹介しています。カナダのGroupe M7についても、内部文書や財務報告書10GBの窃取、複数サーバーの暗号化を攻撃者側が主張していたとされています。

これらは被害の深刻さを示す材料にはなりますが、攻撃者の一方的な主張です。

医療情報や財務情報といった言葉は注目を集めやすく、攻撃者は交渉圧力を高めるために、窃取データ量や重要性を大きく見せることがあります。被害企業や当局の公式発表、第三者によるフォレンジック結果で裏付けられていない限り、窃取件数や暗号化範囲を確定事実のように扱うべきではありません。

ランサムウェアグループに関する動向でも繰り返し見られるように、リークサイト上の犯行声明は報道や注意喚起のきっかけにはなります。一方で、広報・法務・情報システム部門の実務では、攻撃者の主張、企業側の公表、監督当局への報告、実際に確認された漏洩範囲を切り分けることが欠かせません。

Blackoutとランサムウェア対策

米国のGuidePoint Securityは、Blackoutについて公開情報の少なさを前提にしつつ、2024年2月以降のデータリークサイト活動を整理しています。同社の分析で注目すべき点は、Blackoutという名称が過去の地下フォーラム上の安価なランサムウェア販売投稿にも見られる一方で、観測されたリークサイト運営主体との同一性は確認できないとしている点です。

米国政府機関の公開情報では、FBIがランサムウェア被害者に対して身代金支払いを支持しない立場を示し、支払いがデータ復旧を保証せず、さらなる犯罪を助長すると説明しています。CISAのStopRansomware Guideは、フィッシング耐性の高いMFA、インターネット公開システムの迅速なパッチ適用、オフラインまたはクラウド間バックアップ、復旧手順の事前確認を推奨しています。

Blackoutのように個別の公的アドバイザリがないグループでは、グループ固有のIOCを待つより、米国政府が示すランサムウェア共通対策を先に徹底することが現実的です。特にVPN、RDP、メール、SaaS管理画面、特権アカウントの防御が弱い組織は、新興グループの標的になっても不思議ではありません。

英国側では、ZensecがBlackoutを2023年ごろから活動しているランサムウェアグループとして紹介し、医療、建設、専門サービスなど幅広い業種を標的にする機会主義的な傾向を指摘しています。Zensecは英国NCSCのCyber Incident Responseスキームで認定を受けている事業者であり、Blackoutに関する公開ページでは、専用リークブログを使ったデータ公開圧力、暗号化とデータ窃取を組み合わせる二重恐喝、認証情報やインターネット公開システムの悪用といった流れを説明しています。

英国NCSCは、ランサムウェア対応において身代金支払いを推奨せず、最新のオフラインバックアップの重要性を強調しています。GOV.UKのランサムウェアに関する金融制裁ガイダンスでは、制裁対象者に資金や経済的資源を提供することが重大な違反になり得ること、ランサムウェア支払いが復旧を保証せず、将来の再攻撃リスクを高めることが説明されています。

日本企業でも、海外拠点や海外子会社、海外顧客データを扱う場合、身代金交渉は単なるIT復旧判断では終わりません。制裁、個人情報保護、契約上の通知義務、サイバー保険の条件、取締役会への説明責任まで含めた経営判断になります。ランサムウェアグループの組織体系や年間収益とはで解説しているように、RaaS型の犯罪エコシステムでは支払いが次の攻撃資金になりやすい点も忘れてはいけません。

Blackoutを過大評価も過小評価もしない

Blackoutは、LockBit、BlackCat、Akira、Qilinのような大規模ブランドと同列に語るには、公開情報がまだ限定的です。

だからといって無視できる存在でもありません。ランサムウェアの現場では、大きなブランドの解体や摘発が進むたびに、アフィリエイトや初期アクセスブローカーが別の看板へ移ることがあります。知名度の低いグループでも、委託先や海外拠点を経由して国内企業に影響する可能性はあります。

特に医療、製造、物流、交通、ITサービスは、停止時間がそのまま社会的・経済的損失につながります。Blackoutに関する被害主張でも医療機関が名前に挙がっており、攻撃者側の主張が事実かどうかを問わず、業務停止と個人情報流出を同時に起こすランサムウェアの典型的な圧力構造が見えます。

2026年ランサムウェアの事例-国内・海外の被害を解説でも整理している通り、最近の被害は暗号化だけではなく、決算遅延、顧客対応、監督当局への報告、取引先への説明、サプライチェーンの停止にまで広がっています。Blackoutのような新興グループを見る際も、マルウェア名より事業影響を軸に評価すべきです。

情報システム部門への示唆

Blackoutに限らず、新興ランサムウェアグループへの備えでは、名指しのIOCを待つ姿勢が最も危険です。確認すべきは、VPN、RDP、VDI、SaaS管理画面、メール、特権IDに対して、フィッシング耐性の高いMFAが導入されているかです。MFA疲労攻撃や認証情報窃取を前提に、通常と異なる国・端末・時間帯からのログイン、短時間の大量ログイン失敗、管理者権限の急な付与を検知できる状態にしておく必要があります。

バックアップは、取得しているだけでは不十分です。攻撃者は暗号化前にバックアップやスナップショット、管理サーバーを探しに来ます。オフラインまたは不変化されたバックアップを持ち、復旧演習で業務システムをどの順番で戻すかを決めておくことが重要です。製造や物流では、すべてを復旧する前に最低限の出荷、受注、請求、在庫確認を再開するための最小復旧ラインを定義しておくと、現場の混乱を抑えやすくなります。

監視面では、EDRのアラートだけに頼らず、認証ログ、DNS、プロキシ、ファイルサーバー、クラウドストレージ、バックアップ管理画面のログを横断して見る体制が必要です。大量圧縮、短時間の大容量転送、普段使わない外部ストレージや匿名化サービスへの通信は、暗号化前のデータ窃取の兆候になり得ます。

インシデント発生時は、感染端末をネットワークから切り離す一方で、証跡を不用意に消さないことが大切です。復旧を急ぐあまり端末初期化やログ削除を進めると、侵入経路、漏洩範囲、個人情報保護委員会や取引先への説明に必要な根拠を失います。法務、広報、経営、情報システム、外部フォレンジック、サイバー保険、必要に応じて警察やJPCERT/CCへ連絡する流れを、平時に文書化しておくべきです。

身代金支払いは、復旧可否だけで判断してはいけません。米FBI、英NCSC、英国政府、イスラエル政府はいずれも、ランサムウェア支払いが復旧を保証せず、犯罪の継続を助長し得る立場を示しています。海外取引がある企業では、制裁対象者への支払いに該当するリスクもあります。交渉や支払いを検討する場面が生じた場合でも、技術部門だけで閉じず、法務・経営・外部専門家を含めた判断プロセスに乗せるべきです。

Blackoutは現時点で情報が限られるグループですが、限られているからこそ、名称ベースではなく行動ベースで守る必要があります。新興グループの名前を覚えることより、自社の入口、権限、バックアップ、ログ、復旧手順を継続的に点検するほうが、実際の被害を小さくできます。