KELAレポート
Qilinと日本：日本のネットワークを探索する攻撃者たち
KELA CONTROLとアンダーグラウンドの分析が示す、国内の組織に対する犯行を最も多く主張しているランサムウェアグループの実態
シェア：
日本ではサイバーインシデントが異例のペースで相次いでおり、なかでも注視すべきランサムウェアグループがQilinです。
本レポートは、KELA CONTROLによるネットワーク分析と、KELAによるデータリークサイトやサイバー犯罪フォーラムの監視を組み合わせたものです。国内のVPNポータルをスキャンするQilinのアフィリエイトのサーバーを明らかにし、KELAのデータでQilinが国内の組織に対する犯行を最も多く主張するランサムウェアグループとなった経緯、その背後にいるアフィリエイトやブローカーの実態をまとめ、推奨対策と侵害の痕跡（IoC）を掲載しています。
主な調査結果：
- VPNポータルが標的に：Qilinのアフィリエイトのサーバーが、8月8日の1時間のうちに国内のPalo Alto GlobalProtect VPNポータル12件をスキャンしました。スキャンは標的にされたことを示すもので、侵害を意味するものではありません。
- 公開されたIoCは短期間で陳腐化：JPCERT/CCが10月8日に攻撃者のIPアドレスを公表した後、データ窃取を行う攻撃者（Qilinとは別）は新たなインフラに移行し、KELAはそのインフラをKELA CONTROLで特定しました。
- 約400組織が探索の対象に：この攻撃者は、約400組織に属する国内の679ホストを探索しました。侵害が確認されているのは、ディップ株式会社（バイトル）のみです。
- 犯行の主張が最多：KELAのデータでは、2023年1月から2026年10月までの国内のランサムウェア被害368件のうち30件についてQilinが犯行を主張しており、どのグループよりも多い件数です。
- 活動は加速：2026年9月は、Qilinによる国内組織への犯行の主張が最も多い月となりました。KELAは、5月に主要メンバーとされる人物が逮捕された後も、活動は鈍化していないと評価しています。
- 侵入口はまずエッジデバイス：KELAは、VPNなどのエッジデバイスと購入された資格情報が、Qilinのアフィリエイトが国内のネットワークに侵入する主な手段であると評価しています。
