ランサムウェアグループ RansomHouse（ランサムハウス）とは-ニチレイやアスクルへのサイバー攻撃も主張|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

RansomHouse(ランサムハウス)は、2021年後半に出現した二重恐喝を特徴とするサイバー犯罪グループで、日本でも2025年10月のアスクルへの攻撃で広く知られるようになりました。当初はデータの窃取と公開による恐喝に特化した恐喝マーケットプレイスとして活動していましたが、その後、独自の暗号化ツールMarioを用いるRaaS(サービスとしてのランサムウェア)へと進化しています。特筆すべきは、米国のCISA(サイバーセキュリティ・インフラセキュリティ庁)・FBI・国防総省サイバー犯罪センター(DC3)が2024年8月に共同で発行したセキュリティアドバイザリAA24-241Aにおいて、RansomHouseがイラン政府に関連する国家支援型のアクセスブローカーPioneer Kittenと連携していたことが公式に指摘されている点です。本記事では、米国の政府機関による公的アドバイザリと、Unit 42(Palo Alto Networks)やSentinelOneといった権威あるセキュリティ企業の分析に基づき、RansomHouseの実態を整理します。

サマリー

RansomHouseは2021年後半に出現し、当初はデータ窃取・公開による恐喝に特化した恐喝マーケットプレイスとして活動を開始しました
その後、独自の暗号化ツールMarioを採用し、Windows・Linux・VMware ESXi環境を標的とする本格的なRaaS(サービスとしてのランサムウェア)へと発展しました
米CISA・FBI・DC3が2024年8月に共同発行したアドバイザリAA24-241Aでは、イラン政府に関連する国家支援型アクセスブローカーPioneer Kittenが、RansomHouseを含む複数のランサムウェアグループに侵入経路を提供していたことが指摘されています
Pioneer Kittenは、Citrix・Palo Alto・Check Pointといったネットワーク境界機器の既知の脆弱性を悪用して初期アクセスを獲得し、それをRansomHouse等に売却していたとされます
RansomHouseは、暗号化を必ずしも主目的とせず、窃取したデータの公開をちらつかせる恐喝を重視する点に特徴があり、SentinelOneは同グループを多面的な恐喝の脅威に分類しています
ロシア語圏のアンダーグラウンドフォーラムRAMPでの活動などから、ロシア語話者による運用が推定されています
標的は医療・製造・教育・金融など10以上のセクター、4大陸にまたがり、特に医療機関への攻撃が目立ちます。2023年3月にはスペインのバルセロナ臨床病院への攻撃も確認されています
日本国内では、2025年10月のアスクルへの攻撃で約1.1TBのデータ窃取を主張したほか、2026年7月にはニチレイへの攻撃も主張しています

1 整理表
2 RansomHouseの出自と3段階の進化
3 イランアクセスブローカーとの連携
4 イスラエルとの関連-Pay2Keyキャンペーン
5 RansomHouseの標的と代表的な被害事例
6 情報システム部門への示唆
7 出典

整理表

項目	内容
グループ名	RansomHouse(ランサムハウス)
出現時期	2021年後半(2021年12月〜2022年3月ごろ)
恐喝の手法	二重恐喝(データ窃取・公開による恐喝を重視、暗号化は必ずしも主目的でない)
使用する暗号化ツール	Mario(Windows・Linux・VMware ESXiに対応)
運用形態	RaaS(サービスとしてのランサムウェア)、アフィリエイトモデル
推定される運用者	ロシア語話者(RAMPフォーラムでの活動などから推定)
米政府による指摘	CISA/FBI/DC3の共同アドバイザリAA24-241A(2024年8月)で、イランのPioneer Kittenとの連携を指摘
連携するアクセスブローカー	Pioneer Kitten(別名Fox Kitten、UNC757、Lemon Sandstorm等、イラン国家支援型)
主な標的セクター	医療、製造、教育、金融など10以上のセクター
主な標的地域	4大陸にまたがる(米国、欧州、中東など)
代表的な被害	バルセロナ臨床病院(2023年)、アスクル(2025年)、ニチレイ(2026年、主張)

RansomHouseの出自と3段階の進化

RansomHouseは、その活動形態を段階的に変化させてきたグループです。脅威インテリジェンス企業Halcyonの分析によれば、その進化は大きく3つの段階に分けられます。

第1段階は、2021年半ばから2023年半ばにかけての、データ窃取・公開による恐喝に特化したマーケットプレイスとしての活動期です。

この時期のRansomHouseは、必ずしも自らデータを暗号化せず、他者が窃取したデータの公開・販売を仲介したり、窃取データを材料に被害組織を恐喝したりする、いわゆる恐喝専業に近い形態をとっていました。SentinelOneが同グループを多面的な恐喝の脅威に分類しているのも、この暗号化を主目的としない特異な性質を反映したものです。

第2段階は、2023年半ばから2024年初頭にかけての、暗号化エンジンMarioを採用したハイブリッド型への移行期です。この時期に、RansomHouseはデータの窃取だけでなく、実際にシステムを暗号化する能力を備えるようになりました。

第3段階が、2024年以降の、アフィリエイト(実行犯)の勧誘と組織的なキャンペーンを伴う、構造化されたRaaSプラットフォームとしての運用期です。

なお、Unit 42(Palo Alto Networks)は2025年12月、RansomHouseの暗号化ツールがより複雑なものへとアップグレードされたことを報告しており、同グループが技術的にも継続的に進化を続けていることがうかがえます。

イランアクセスブローカーとの連携

RansomHouseを理解するうえで最も重要な公的情報が、米国のCISA・FBI・国防総省サイバー犯罪センター(DC3)が2024年8月28日に共同で発行したセキュリティアドバイザリAA24-241A、すなわちIran-based Cyber Actors Enabling Ransomware Attacks on US Organizations(米国組織へのランサムウェア攻撃を可能にするイラン拠点のサイバーアクター)です。

このアドバイザリは、Pioneer Kitten(別名Fox Kitten、UNC757、Parisite、RUBIDIUM、Lemon Sandstorm)と呼ばれる、イラン政府に関連する国家支援型のサイバーアクターについて警告するものです。米連邦機関の分析によれば、Pioneer Kittenは2017年以降、米国の組織に対して大量の侵入を試みてきたアクセスブローカーであり、侵害したネットワークへのアクセスを地下フォーラムで販売しています。そして、このアドバイザリの中で、Pioneer Kittenが連携していたランサムウェアグループの一つとして、NoEscape、ALPHV(BlackCat)と並んでRansomHouseが名指しで挙げられています。

Pioneer Kittenは、侵害したネットワークへのアクセスを、身代金収益の一定割合と引き換えにこれらのランサムウェアグループへ提供していたとされます。

その手口は主に、インターネットに面した資産、すなわちCitrix、Palo Alto Networks、Check Pointといったネットワーク境界機器の既知の脆弱性を悪用して初期アクセスを獲得するものでした。つまりRansomHouseは、自らゼロから侵入するだけでなく、イランの国家支援アクターが確保した侵入経路を購入して攻撃を展開していたケースがあることが、米国政府の公式な調査によって裏付けられているのです。

興味深いのは、SC Media等の報道によれば、Pioneer Kittenのメンバーはこの金銭目的の活動をイラン政府に隠れて行っていたとみられ、ランサムウェアグループ側に自らのイランとの関係を明かしていなかったとされる点です。国家support型アクターと純粋な金銭目的のサイバー犯罪グループとの境界が、実際の攻撃の現場では曖昧に交錯している実態を示す事例だといえます。

イスラエルとの関連-Pay2Keyキャンペーン

RansomHouseと直接連携していたPioneer Kittenは、イスラエルの安全保障とも深い関わりを持つアクターです。

前述のCISAアドバイザリおよび関連分析によれば、Pioneer Kittenは2020年後半、Pay2Keyと呼ばれるハック・アンド・リーク(侵入して窃取したデータを公開する)キャンペーンを実施しており、被害組織のデータを.onionサイト上で公開していました。FBIは、この作戦がイスラエルを拠点とするサイバーインフラの安全性を損なうことを目的としていたと評価しています。

Pioneer Kittenは、米国のみならず、イスラム教国であるアゼルバイジャンやアラブ首長国連邦(UAE)、そしてイスラエルといった中東地域の組織も標的にしてきたことが、複数のセキュリティ企業(Tenable、SOC Prime等)の分析で指摘されています。

イランの国家戦略上の敵対国であるイスラエルが標的に含まれていることは、Pioneer Kittenが単なる金銭目的の犯罪者ではなく、イランの地政学的な意図を反映した活動も行っていたことを示唆しています。RansomHouseは、こうした国家的背景を持つアクターと商業的に連携していたという点で、純粋なサイバー犯罪の枠に収まらない側面を持つグループだといえます。

RansomHouseの標的と代表的な被害事例

RansomHouseの標的は、特定の業種に限定されず、医療・製造・教育・金融など10以上のセクター、4大陸にまたがっています。中でも医療機関への攻撃が目立つのが特徴です。

国際的に大きく報じられた事例としては、2023年3月のスペイン・バルセロナ臨床病院(Hospital Clinic de Barcelona)への攻撃があります。セキュリティ企業Bitdefenderの報告によれば、この攻撃により同病院は診療の一部停止を余儀なくされ、医療機関を標的にすることの社会的影響の大きさが改めて浮き彫りになりました。

日本国内では、当サイトで既報のとおり、2025年10月に事務用品通販大手のアスクルへの攻撃でRansomHouseが犯行声明を発表し、約1.1TBのデータ窃取を主張しました。この攻撃ではアスクルの受注・出荷業務が全面停止し、良品計画やそごう・西武など取引先にも影響が波及、最終的に約74万件の個人情報流出の可能性が公表されています。

さらに2026年7月には、冷凍食品・物流大手のニチレイへの攻撃をリークサイト上で主張しています(ただしニチレイ側による公式な裏付けはなく、あくまで攻撃者の主張の段階です)。いずれも、多数の取引先が依存する物流・流通の基幹を担う日本の大手企業が標的になっている点は注視すべき傾向です。

情報システム部門への示唆

RansomHouseの事例から、情報システム部門が学ぶべき教訓は複数あります。

第一に、初期侵入経路としてのネットワーク境界機器の重要性です。

米CISAアドバイザリが指摘するとおり、RansomHouseと連携するPioneer KittenはCitrix、Palo Alto Networks、Check Pointといった境界機器の既知の脆弱性を悪用して侵入していました。当サイトで既報のPAN-OS GlobalProtectの脆弱性CVE-2026-0257がQilinランサムウェアに悪用された事案でも同様の構図が見られたように、インターネットに面したVPN・ファイアウォール等の機器の脆弱性管理とパッチ適用は、ランサムウェア対策の最前線です。CISAアドバイザリが提供するIOCやCVE情報を活用し、該当する脆弱性を放置していないか確認することが重要です。

第二に、恐喝特化型グループへの対応です。RansomHouseのように、データの暗号化以上に窃取データの公開による恐喝を重視するグループに対しては、バックアップからの復旧だけでは被害を収束できません。窃取された可能性のあるデータの内容を早期に特定し、公開された場合の影響を評価したうえで、関係者への通知や監督官庁への報告を適切に行う体制が求められます。

第三に、脅威インテリジェンスの活用です。RansomHouseのように、必ずしも米英イスラエルの政府機関が単独の専用アドバイザリを発行しているわけではないグループについても、今回のようにアクセスブローカー経由で国家支援アクターと接点を持つ形で公的アドバイザリに登場することがあります。CISAの#StopRansomwareプログラムや各国のアドバイザリ、そしてUnit 42・SentinelOne・Halcyonといった民間の脅威インテリジェンスを組み合わせて、自組織に関連する脅威の動向を継続的に把握することが、実効的な防御につながります。