世界最多活動のランサムウェア「Qilin」管理者の特定報告

ロシアを拠点とするランサムウェア・アフィリエイト「Qilin」は、被害企業から身代金を得るとアフィリエイトに最大80%を支払うなど高い報酬設計で参加者を募り、データ窃取と暗号化の「ダブルエクストーション」を行っているとされる。サイバーセキュリティ企業NCC Groupの報告を含む調査で、同グループは2022年9月以降活動しており、直近3か月で少なくとも365件の被害を主張するなど活動量が多いとされる。

複数のサイバーインテリジェンス企業のデータを突き合わせた結果、Qilinの管理者を名乗る「Haise」は過去にフォーラムで使用していたハンドル名「Rjun」やTelegramのユーザー名「Alexbigboss44」と関連付けられた。過去にRAMPなどのフォーラムでの申請記録や、フォーラム内メッセージ、TelegramのIDのログがこのつながりを示している。

さらに、過去の掲示板登録に用いられたメールアドレス([email protected])やそれに関連するパスワードの断片、ロシアの公的サービス「gosuslugi.ru」から流出したデータなどを手がかりに、これらのアカウントがサンクトペテルブルク在住のAleksey Mikhailovich Yakovtsev（1990年8月18日生）に紐付くとする記録が確認されたと報告されている。TelegramのユーザーIDや電話番号、フライト記録などの断片情報も一致する点があるという。

報告は複数の商用インテリジェンスプロバイダ（Intel 471、Flashpoint、Spycloud、Constella Intelligence、IntelHawkなど）のデータや、2025年のgosuslugiの流出記録、RAMPフォーラムの押収記録などを根拠としている。記事はこれらのデータに基づく関連付けを紹介しており、調査対象の個人に関する犯罪上の確定判決や公的な捜査結論を示すものではないことに留意が必要である。

今回の報告は、ランサムウェア運営者がオペレーショナルセキュリティ上のミスや過去のハンドルのつながりから特定され得ることを示している。企業側はランサムウェア被害の脅威が増大している点を踏まえ、初動対策やアクセス管理、データ漏えい検知の強化を引き続き優先する必要がある。