ランサムウェアQilinが日本企業22件を標的、アサヒGHDも被害で自動化された攻撃手口が判明

「アサヒの件、うちの会社には関係ない話だよね？」
「Qilinってどんな入り方で侵入してくるの？」

チップス

ボス、アサヒの事件、ランサムウェアのせいだって聞いたでしゅ！うちみたいな中堅企業も狙われるんでしゅか？

ボス

ああ、Qilin（キリン）だな。2025年の日本国内ランサム被害134件のうち、22件はこのグループの仕業だ。業種も規模も問わずに狙ってくる。

2026年4月21日、Cisco Japanや国内メディアの分析で、ランサムウェア「Qilin」が日本国内で最も活発な攻撃グループと改めて裏付けられました。
この記事では、アサヒGHD事件の全貌と、中堅企業がすぐ取り入れられる早期検出のポイントを整理します。

情シス担当の方でも、明日から運用に組み込める具体的なヒントが手に入ります。

事件の概要：Qilinが日本で突出した理由

Qilinは2022年から活動するロシア語圏のRaaS型グループで、日本企業にも深い爪あとを残しています。

アサヒGHD事件で露呈した被害規模

2025年9月、アサヒグループホールディングスはQilinの攻撃で国内の受発注・出荷システムが停止しました。
10月には同グループが犯行を主張し、約27ギガバイト（9,300ファイル）の内部文書を持ち出したと発表しています。
生産の一部が止まり、新商品の発売延期や出荷調整も続きました。
日本国内全体でもQilinの被害は134件中22件と突出して多い状況です。

チップス

大企業がそこまでやられるなんて…！うちなんて一撃で終わりでしゅ…

攻撃手口と早期検出のポイント

Qilinの侵入経路はゼロデイ一辺倒ではありません。既存の穴を丁寧に突くのが彼らの流儀です。

侵入から暗号化までの典型シナリオ

Qilinの標準的な手口は次の流れをたどります。
ネットワーク機器の脆弱性を入り口に、VPN経由で内部に潜り込みます。
その後PsExecやSSH、Cobalt Strikeで横展開し、特権認証情報を奪います。
EDR Killerでセキュリティ製品を無効化したうえで、データを抜き取り、暗号化に進みます。
初期侵入から身代金要求まで、平均で半年ほどの潜伏期間があるとされます。

Sigmaルールで「勤務外コマンド」を可視化する

Cisco Japanの分析では、Windowsの「net user」コマンドが短時間で繰り返し実行された場合に注目すべきと指摘されています。
具体的には15分以内に3回以上の実行を捉えるSigmaルールが、Qilinの内部偵察を見抜く入り口として紹介されました。
アラート過多を避けるには、勤務時間外の異常コマンドに絞り込む設計がおすすめです。

ボス

EDRやSIEMを入れていても、ルールが未整備なら素通りされるケースは多い。ログの読み方こそが勝負だな。

まとめ

Qilinは日本を「稼げる市場」と見て攻撃を継続しており、被害は企業規模を問いません。
VPN装置の脆弱性管理、特権コマンドの監視、そしてログを読み解く運用体制こそが、何よりの防御線となります。
アサヒ事件はひとごとではなく、次に狙われるのは自社かもしれないという前提で備えておきたいところです。

チップス

まずは「net user」の監視ルールから試してみるでしゅ！

Qilinのような最新脅威に対抗するには、実践的なセキュリティ人材が欠かせません。
スプラッシュエンジニアリングでは、インシデント対応や脅威ハンティングを担うセキュリティ案件を多数ご紹介しています。