ランサムウェアグループINC Ransomとは-米保健福祉省とMITRE ATT&CKが分析する実態|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

ランサムウェアグループINC Ransom(INC Ransomware、別名GOLD IONIC)は2023年7月から活動が確認されている、比較的新しいながら高度な手口を持つグループです。米保健福祉省(HHS)の医療セクターサイバーセキュリティ調整センター(HC3)は2024年4月、医療・公衆衛生セクターを狙う活発なランサムウェアグループの上位10組織の一つとしてINC Ransomを取り上げ、詳細な分析を公表しています。また、米国防総省が資金提供する非営利団体MITREが運営するATT&CKフレームワークでも、INC Ransomは正式に追跡対象のグループ(ID:G1032)として登録されており、標的選定の傾向や攻撃手口(TTP)が体系的に整理されています。本稿執筆時点で、米CISA・FBIによるINC Ransomを名指しした共同アドバイザリ(#StopRansomware)、英NCSC、イスラエルのINCDによる専用の公式勧告は確認できていませんが、米国政府機関であるHHS/HC3と、CISAが資金提供に関わる権威ある技術機関MITREの分析を軸に、その実態を整理します。

サマリー

INC Ransomは2023年7月から活動が確認されているランサムウェア・データ恐喝グループで、二重恐喝(データの暗号化と窃取の両方を材料に金銭を要求する手口)を用います
米HHS/HC3は2024年4月の分析で、INC Ransomを医療・公衆衛生セクターを狙う活発なランサムウェアグループの上位10組織の第9位として位置づけ、標的を慎重に選定し、金融資産や機密データを豊富に持つ組織を狙う傾向があると指摘しています
MITRE ATT&CKによれば、INC Ransomは主に米国と欧州の産業、医療、教育セクターの組織を標的にしており、初期侵入にはスピアフィッシングに加え、Citrix NetScalerの既知の脆弱性(CVE-2023-3519)の悪用が確認されています
侵入後は、AdFindによるドメイン情報の探索、7-ZipやWinRARによるデータの圧縮、MegaSyncやRcloneを使ったクラウドへのデータ持ち出し、AnyDeskやPuTTYといった正規ツールを悪用したリモートアクセスなど、市販ツールや環境寄生型(LOLBins)の手口を組み合わせています
2024年3月には、英国のNHSスコットランドに対する攻撃を主張し、3TBに及ぶ患者データの窃取と公開の脅迫を行ったことが確認されており、医療機関への脅威として国際的にも注目されました
日本国内でも、当サイトで既報のとおり2026年にJAあきた北ライフサービスがINC Ransomの犯行声明の対象になるなど、標的は米欧に限定されていません
本稿執筆時点で、米CISA・FBIの#StopRansomwareプログラム、英NCSC、イスラエルのINCDによる、INC Ransomを名指しした専用の共同アドバイザリは確認できていません

1 整理表
2 HHS/HC3が分析するINC Ransomの実態
3 MITRE ATT&CKが記録する攻撃手口
4 NHSスコットランドへの攻撃と国際的な注目
5 標的は米欧に限定されない-日本国内での確認事例
6 公的機関による専用の共同アドバイザリがまだない現状
7 情報システム部門への示唆
8 出典

整理表

項目	内容
グループ名	INC Ransom(別名GOLD IONIC、使用マルウェア名はINC Ransomware)
活動開始時期	2023年7月以降(MITRE ATT&CK)
恐喝の手法	二重恐喝(データ暗号化+窃取・公開の脅迫)
HHS/HC3による評価	医療セクターを狙う活発なランサムウェアグループ上位10組織中、第9位(2024年4月時点)
主な標的セクター	産業、医療、教育(米国・欧州中心)
主な初期侵入手口	スピアフィッシング、公開アプリケーションの脆弱性悪用(CVE-2023-3519、Citrix NetScaler)
内部活動で使用が確認されたツール	AdFind、esentutl、Net、Nltest、PsExec、Rclone、Tor、MegaSync、AnyDesk、PuTTY、NETSCAN.EXE
代表的な被害事例	英国NHSスコットランド(2024年3月、3TBのデータ窃取を主張)
日本国内での確認事例	JAあきた北ライフサービス(2026年、犯行声明)
MITRE ATT&CKでの登録ID	G1032
米CISA/FBI・英NCSC・イスラエルINCDによる専用共同アドバイザリ	本稿執筆時点で確認できず

HHS/HC3が分析するINC Ransomの実態

米保健福祉省の医療セクターサイバーセキュリティ調整センター(HC3)は2024年4月5日、過去6か月間に医療・公衆衛生セクターで確認された730件のインシデントの分析結果として、活発なランサムウェアグループの上位10組織をまとめたアナリストノートを公表しました。この中でINC Ransomは第9位に位置づけられています。

HC3の分析によれば、INC Ransomは比較的新しいグループでありながら急速に悪名を高めた、高度な手口を持つサイバー犯罪グループです。多くの日和見的なランサムウェア攻撃者とは異なり、INC Ransomは標的を慎重に選定する傾向があり、豊富な金融資産と機密データを保有する組織を狙うことで、身代金要求の潜在的な見返りを高めているとHC3は指摘しています。攻撃の手口としては、初期侵入のためのスピアフィッシングキャンペーン、既知の脆弱性の悪用、そして市販の既製ソフトウェア(COTS)や環境に元から存在する正規のシステムツール(LOLBins)を偵察・横展開の両方に活用する手法が組み合わされており、この点は技術力の高さだけでなく、検知を逃れながら活動を継続する能力の高さも示しているとHC3は評価しています。

MITRE ATT&CKが記録する攻撃手口

MITRE ATT&CKにおいて、INC Ransomはグループ番号G1032として2024年6月に正式登録されており、Secureworksが用いる別名GOLD IONICとも紐づけられています。MITREの記録によれば、INC Ransomは2023年7月以降、米国と欧州を中心に、産業・医療・教育セクターの組織を標的にしてきました。

初期侵入の手口としては、スピアフィッシングに加え、Citrix NetScalerの既知の脆弱性であるCVE-2023-3519を悪用した公開アプリケーションへの侵入が確認されています。侵入後は、正規のリモートデスクトッププロトコル(RDP)経由で窃取した有効なアカウント情報を用いて内部を移動し、AdFindによるドメイン管理者アカウントの探索、NETSCAN.EXEを用いた内部偵察、Nltestによるドメイン信頼関係の調査といった手口で内部環境の把握を進めます。データの持ち出しに際しては、7-ZipやWinRARで収集したデータを圧縮したうえで、MegaSyncやRcloneを使ってクラウドストレージへ転送する手口が確認されています。また、正規のリモートアクセスツールであるAnyDeskやPuTTYを悪用したり、PsExecの実行ファイルをwinupdという名称に変更してWindowsの更新プログラムに見せかけたりするなど、環境になりすます手口も用いられています。最終的な暗号化の実行には、Windows Management Instrumentation(WMI)やサービスコントロールマネージャーを介した実行が確認されています。

NHSスコットランドへの攻撃と国際的な注目

INC Ransomの存在が国際的に広く知られるきっかけとなったのが、2024年3月に確認された英国のNHSスコットランドへの攻撃です。MITRE ATT&CKが引用する報道によれば、INC Ransomは自グループのダークウェブ上のリークサイトで、NHSスコットランドから3テラバイトに及ぶ患者データを窃取したと主張し、身代金が支払われない場合はこのデータを公開すると脅迫しました。この事案では、患者の氏名や病状に関するやり取りを含むとされる複数のスクリーンショットが証拠として公開されたと報じられています。

医療機関への攻撃は、患者の生命・健康に直結する機微な情報を扱う性質上、被害組織にとって身代金を支払う圧力が特に強くなる傾向があります。HC3が指摘するとおり、INC Ransomが標的を慎重に選定し金融資産や機密データの豊富な組織を狙う傾向にあることを踏まえると、医療機関はこうした攻撃者にとって引き続き魅力的な標的であり続けると考えられます。

標的は米欧に限定されない-日本国内での確認事例

INC Ransomの標的は米国・欧州に限定されているわけではありません。当サイトで既報のとおり、2026年にはJAあきた北ライフサービスがサイバー攻撃を受け個人情報漏洩の恐れがあると公表した事案で、INC Ransomが犯行声明を出しています。医療・産業・教育セクターを中心に据えつつも、地理的には米欧にとどまらない、グローバルな脅威として活動を続けている実態がうかがえます。

公的機関による専用の共同アドバイザリがまだない現状

米CISA・FBIは、#StopRansomwareという枠組みのもとで、LockBit・Akira・BlackSuit・Interlock・RansomHub・BianLianなど、多数のランサムウェアグループについて英国のNCSCやその他の国際的なパートナー機関と共同でアドバイザリを発行してきた実績があります。しかし、本稿執筆時点で調査した限り、INC Ransomを対象とした専用の共同アドバイザリは、CISA・FBIのいずれからも、また英国のNCSC、イスラエルのINCDからも確認できませんでした。

一方で、前述のとおりHHS/HC3は医療セクター向けの専門機関として独自にINC Ransomの分析を公表しており、MITRE ATT&CKにも正式なグループとして登録され、詳細なTTPが記録されています。政府機関による全省庁横断的な共同アドバイザリこそ存在しないものの、セクター特化型の米国政府機関や、CISAが資金提供に関わる権威ある技術標準団体による分析という形で、一定水準の公的な情報整理はすでになされているといえます。

情報システム部門への示唆

INC Ransomの手口で特に注目すべきは、正規のリモートアクセスツールやシステム標準ツールを悪用する、いわゆる環境寄生型(LOLBins)の手法を多用している点です。AnyDeskやPuTTYといった正規のリモートアクセスソフトウェア、Windowsに標準搭載されたWMIやサービスコントロールマネージャーの悪用は、マルウェア対策ソフトのシグネチャベースの検知だけでは見抜きにくく、通常の管理者の操作と見分けがつきにくいという特徴があります。振る舞い検知型のEDR製品の導入や、正規ツールの実行ログを継続的に監視する体制が、こうした手口への対策として重要になります。

また、初期侵入経路としてCitrix NetScalerの既知の脆弱性が悪用された実績がある点を踏まえると、インターネットに公開しているリモートアクセス機器・アプリケーションのパッチ適用状況を定期的に棚卸しし、既知の脆弱性を放置しないことが基本的ながら重要な対策です。医療・産業・教育セクターの組織は、INC Ransomが標的として選定する傾向がある業種に該当するため、特に自組織が保有する機密データ・金融資産の価値を踏まえたリスク評価を行い、優先度の高い防御投資を検討することをお勧めします。