Qilin（キリン、キーリン）は、ランサムウェアを用いるサイバー犯罪集団、および同集団が運用するランサムウェア・アズ・ア・サービス型のランサムウェアである。Agendaとも呼ばれる。2022年頃から活動が確認され、医療、製造、教育、金融、公共機関、メディアなどの組織を標的としている。
Qilinは、ファイルの暗号化に加えて、被害組織から窃取したデータを公開すると脅す二重恐喝型の手法を用いる。2025年には日本国内でも被害または犯行主張が相次ぎ、警察庁資料では、同年にランサムウェア種別が判明した149件のうち、Qilinが32件、21.5パーセントを占めた。
概要 Qilinは、ランサムウェアを開発・運用する側と、実際に侵入や攻撃を行う協力者が分かれるランサムウェア・アズ・ア・サービス型の形態をとるとされる。トレンドマイクロは、Agendaとして知られるランサムウェアがQilinとして活動し、複数のプラットフォームに対応する亜種や高度な侵入手法を用いていると分析している。Cisco Talosは、QilinをAgendaとしても知られるランサムウェアグループとし、窃取した情報の公開と暗号化を組み合わせる二重恐喝を行うと説明している。
トレンドマイクロは2025年、QilinがWindows環境でLinux版のAgendaランサムウェアを展開する攻撃を確認したと発表した。同社は、このようなクロスプラットフォーム型の実行により、企業側の検出が困難になると分析している。
活動と手法 Qilinは、侵入後に認証情報の取得、権限昇格、横展開、データ窃取、暗号化を行うとされる。Cisco Talosは、2025年に複数のQilin関連インシデントに対応し、VPN侵害からランサムウェア実行までの攻撃手順を分析している。
NTTセキュリティ・ジャパンは、Qilinについて、ランサムウェアによる暗号化だけでなく、情報窃取とリークサイト上での公開を組み合わせる点を指摘している。
日本国内での影響 2025年には、日本国内でもQilinによる被害または犯行主張が目立つようになった。警察庁資料では、2025年にランサムウェアの被害報告件数が226件あり、ランサムウェア種別が判明した149件のうちQilinが32件、21.5パーセントを占めた。Cisco Talosも、2025年に日本国内で報告されたランサムウェア被害134件のうち、Qilinに関連するものが22件、16.4パーセントを占めたと分析している。
アサヒグループホールディングス
2025年9月、アサヒグループホールディングスはサイバー攻撃によるシステム障害を公表した。同社は10月3日の発表で、サーバーがランサムウェアによる攻撃を受けたことを確認し、国内グループ各社の受注・出荷を含む各種業務、社外からの電子メール受信、コールセンター業務などに影響が出ていると説明した。また、システムによる受注・出荷業務は停止し、部分的に手作業で受注・出荷を進めていると発表した。
同社は10月14日、サイバー攻撃によるシステム障害の影響で、2025年12月期第3四半期決算短信の開示が四半期末後45日を超える見込みになったと発表した。
ロイターは同年10月、Qilinがアサヒグループホールディングスへの攻撃を主張し、9300件超、約27ギガバイトのファイルを盗んだと主張したと報じた。ただし、ロイターは公開された文書の真正性を独自に確認できていないともしている。NTTセキュリティ・ジャパンも、同事案を「Qilinランサムウェアの脅威」として扱い、国内の受注・出荷、コールセンター、工場生産、サプライチェーンへの影響を整理している。
東山産業 2026年、東山産業は同社サーバー等へのランサムウェア攻撃を公表した。同社は4月22日の第3報で、悪意ある第三者が社内ネットワークへ不正アクセスし、管理者権限を不正に取得した上で複数のサーバーにランサムウェアを展開し、ファイルを暗号化したと説明した。
同社は、外部専門機関によるフォレンジック調査およびダークウェブ調査の結果として、2026年4月10日時点で「QILIN」ランサムグループのブログに一部データの写真が公開され、4月15日にデータが公開されたことを確認したと発表した。
宇都宮セントラルクリニック 2025年2月、宇都宮セントラルクリニックは、同院のサーバーがランサムウェア攻撃を受けたことを公表した。同院は、院内システムが使用できない状態が続き、診察および健診業務を制限したと説明した。同院のサーバーには最大約30万名分の個人情報が記録されていたとされる。
同事案については、Qilinが不正アクセスと情報窃取を主張したとする報道がある。
オオサキメディカル 2025年8月、医療用品メーカーのオオサキメディカルは、同社システムがランサムウェアに感染し、8月25日以降に受け付けた注文の出荷ができない状況になったと発表した。同社は同年12月、外部調査機関の調査により、同社が管理する個人情報の一部が外部に漏えいした可能性があると発表した。
同事案については、Qilinが同社への不正アクセスと約113ギガバイトの情報窃取を主張したとする報道がある。
エネサンスホールディングス 2025年10月、エネサンスホールディングスはランサムウェア被害を公表した。同社は、一部サーバーおよび端末内のデータが暗号化されたこと、攻撃者側のウェブサイトに同社名および会社ロゴが掲載されたことを認識していると説明した。2026年5月の発表では、同社から窃取されたと思われる情報が攻撃者により公開されていたことを確認したと発表した。
同事案については、Qilinが同社への攻撃を主張したとする報道がある。ただし、同報道では、ランサムウェアグループの主張には注意が必要であるとも記されている。
穴吹ハウジングサービス 2026年、穴吹ハウジングサービスは、同社システムに対する第三者による不正アクセスを検知し、システム隔離およびネットワーク遮断を行ったと発表した。同社は、攻撃者により公開された情報の中に同社に関連するとみられる情報が掲載されていることを確認し、約49万6000名分の個人情報について漏えいの可能性を否定できないとした。
同事案については、Qilinが同社に対する犯行声明を出したとする報道がある。
主な国際的事例
英国 2024年6月、英国の病理検査サービス会社Synnovisがランサムウェア攻撃を受け、ロンドンの複数のNHS病院で診療、検査、手術などに影響が出た。ロイターは2025年6月、英国の保健当局が、この攻撃による血液検査の遅延がロンドンの病院患者1名の死亡に寄与したと確認したと報じた。
米国 米国では、医療機関、新聞社、研究支援企業、地方公共機関などに対する被害または犯行主張が報じられている。Covenant Healthは2025年5月のサイバー攻撃により、47万8000人超の個人情報や医療情報が影響を受けたと報じられた。SecurityWeekは、Qilinが同組織のシステムからデータを盗んだと報じている。
米国の新聞社グループLee Enterprisesは、2025年2月のサイバー攻撃により、重要なアプリケーションが暗号化され、データが盗まれたと報じられた。TechCrunchは、同攻撃により米国各地の新聞印刷やメディア運営が数週間にわたり混乱し、Qilinが犯行を主張したと報じている。
アジア 中国系の自動車部品メーカーYanfeng Automotive Interiorsについて、BleepingComputerは、Qilinが同社への攻撃を主張したと報じた。同社は世界各地に拠点を持つ自動車内装部品メーカーであり、Stellantisは外部サプライヤーの問題により北米の一部組立工場の生産が影響を受けたと説明している。
韓国では、The Hacker Newsが、韓国金融セクターに対するサプライチェーン攻撃でQilinランサムウェアが展開されたと報じている。
欧州大陸 フランスでは、2025年10月にHauts-de-France地域の公立高校システムがサイバー攻撃を受けた。リール学区は、同地域の高校情報システムが攻撃を受け、地域・学区当局が危機対応を開始したと発表した。フランスの報道機関は、この攻撃をQilinによるものとして報じている。
ドイツでは、左派政党Die Linkeがサイバーインシデントを確認し、BleepingComputerはQilinが同党からデータを盗んだと報じた。
ルーマニアでは、国営石油パイプライン運営会社Conpetに対するサイバー攻撃について、The Recordが、Qilinが約1テラバイトのデータ窃取を主張したと報じた。Check Pointは、同社のITシステムに障害が出た一方で、パイプライン制御や通信などの運用技術は機能し続け、石油輸送は中断しなかったと説明している。
攻撃主体の特定 一部の事例では、被害組織の公式発表が攻撃主体を明示していない。そのため、Qilinとの関連は、同集団の犯行声明、リークサイト掲載、またはセキュリティ企業・報道機関の分析に基づく場合がある。
中心メンバーの逮捕 2026年5月、Qilinの中心メンバーが日本国内に滞在しているという情報が日本の捜査当局によせられ、大阪市内で旅行中だったロシア国籍の男を逮捕した。その後10月に、男はドイツ国内の企業が被害にあった事件を捜査していたドイツ当局の要請を受けて、身柄を引き渡された。
脚注
関連項目
ランサムウェア マルウェア サイバー攻撃 サイバー犯罪 二重恐喝