米国のサイバーセキュリティ企業Halcyonの日本法人であるHalcyon Japan株式会社は、ランサムウェアオペレーションセンター（ROC）が観測した2026年8月のランサムウェア動向をまとめた月次レポート「ROC STARレポート」を公開しました。同レポートによると、暗号化の前に復旧手段を無効化する動きがみられ、OSに標準搭載された正規機能を悪用する「環境寄生型（Living off the Land）」のアラートが前月比72.0%増を記録しました。

暗号化前の復旧手段無効化と環境寄生型の急増

8月の悪用ツールランキングでは、Windowsの復元用スナップショット（シャドウコピー）を管理するコマンドであるVSSAdmin／Shadow Copyが前月から2つ順位を上げ、15の組織で観測されました。攻撃者がデータを暗号化する直前に復元ポイントを消去し、企業の自力復旧手段を排除する狙いがあるとみられます。

8月に観測されたカテゴリー別のアラート集計は以下の通りです。

• 環境寄生型（LOLBAS）：50 → 86件（+72.0%）
• データ窃取：36 → 45件（+25.0%）
• リモート監視・管理（RMM）：3,262 → 2,440件（-25.2%）
• 攻撃的セキュリティツール：50 → 30件（-40.0%）

攻撃用ツールやRMMツールのアラートが減少する一方で、環境寄生型のみが増加しています。正規の機能を悪用する手法のため、マルウェアとしての検知や通常の運用作業との見分けが難しい特徴があります。

グループ別の攻撃件数ランキングでは、「Qilin（キリン）」が148件で首位となり、2か月連続で首位だった「The Gentlemen（ザ・ジェントルメン）」が123件で2位となりました。トップ15のうち順位を維持したのは5グループのみで、8グループが再ランクインしたほか、OrovaとDark Projectの2グループが新規に加わりました。3位にはCl0p、10位にはLockBitが戻っています。

また、トップ15圏外の「ランサムハウス（RansomHouse）」について、Halcyonの観測では米国企業を対象とした攻撃は約40%にとどまり、日本を含むヨーロッパやアジア各国の企業も標的となっています。同グループはパッチ未適用のVPNゲートウェイなどから侵入し、正規の管理ツールを用いてVMware ESXiなどの仮想基盤を標的とする手口が確認されています。

被害の阻止実績と解説ウェビナーの開催予定

Halcyonのデータによると、8月に観測した攻撃の98.3%を初期アクセスや偵察といった初期段階で止めており、データの破壊や暗号化に至る前に阻止できた割合は99.2%以上、攻撃を防いだことによる推定侵害コスト削減額は7,840万ドルを超えました。

Halcyon Japan株式会社カントリーマネージャーの露木 正樹は、攻撃者が暗号化の前に復旧手段を潰しにきていると指摘し、バックアップをネットワークから切り離した場所に置くことや、復旧手段へ手が伸びる前の段階で攻撃を止める対策の重要性を示しています。

なお、本レポートの内容を解説するオンラインセミナーが以下の日程で開催される予定です。

• 日時：2026年9月18日（金）午前11:00〜
• 形式：オンライン
• 参加費：無料
• 登壇者：露木 正樹（Halcyon Japan株式会社 カントリーマネージャー）
• 申込URL：https://www.halcyon.ai/jp/webinar/roc-star-report-aug-2026

会社概要

• 会社名：Halcyon Japan株式会社
• 本社：東京都渋谷区
• 公式サイト：https://www.halcyon.ai/jp
• お問い合わせ：https://www.halcyon.ai/jp/contact

本記事はHalcyon Japan株式会社の発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。