1.結論
”The Gentlemen（ザ・ジェントルメン）は、2025年半ばごろに表面化し、2026年に急速拡大したRaaS（ラース：Ransomware as a Service／サービス型ランサムウェア）”集団です。
Microsoft（マイクロソフト）は運営側を Storm-2697（ストーム2697） として追跡し、Kaspersky（カスペルスキー）、Trend Micro（トレンドマイクロ）、Check Point（チェック・ポイント）、MBSD（三井物産セキュアディレクション）などが相次いで技術分析を公開しています。
現時点でかなり強く言えるのは、彼らは単なる新興グループではなく、既存ランサムウェア・エコシステムから経験者が流入した可能性が高い、実務型・分業型の犯罪集団だという点です。ただし、Qilin（キリン）からの離脱や内部対立については複数情報があるものの、全員の身元や組織継承関係までは確定できていません。
2.客観的事実として扱いやすい情報
活動時期
The Gentlemenは、2025年半ばごろに出現し、2026年に入って活動が急増しました。Microsoftは「当初は閉鎖型グループとして始まり、2025年9月ごろからアフィリエイト向けRaaSとして提供を始めた」と説明しています。
MBSDも、2025年半ばに活動が表面化し、2026年から一段と活発化したと整理しています。
攻撃モデル
彼らは二重恐喝型ランサムウェアを使います。
つまり、単にファイルを暗号化するだけでなく、事前にデータを盗み、「金を払わなければ公開する」と圧力をかける方式です。MicrosoftとCybereason（サイバーリーズン）、FortiGuard（フォーティガード）などがこの点を一致して説明しています。
技術的特徴
確認されているランサムウェアには、Go（ゴー）言語版と、C（シー）言語版があります。Check PointはWindows、Linux（リナックス）、NAS（ナス）、BSD（ビーエスディー）向けのGo版、ESXi（イーエスエックスアイ）向けC版を報告しています。Kasperskyは、さらにWindows向けの開発中とみられるC言語版も確認しています。
Microsoftは、Go版ランサムウェアがGarble（ガーブル）で難読化され、自己伝播的に展開される点を分析しています。難読化とは、解析されにくいようにプログラムを読みにくく加工することです。
侵入経路
主な侵入経路は、公開VPN装置やファイアウォール、特にFortinet/FortiGate（フォーティネット／フォーティゲート）などの脆弱性悪用、盗まれた認証情報、弱いパスワードなどです。KasperskyとMBSDは、IAB（アイエービー：Initial Access Broker／初期侵入経路を売買する犯罪者）との関係可能性にも触れています。
攻撃後の行動
侵入後は、Active Directory（アクティブディレクトリ：社内アカウントや権限を管理する仕組み）の探索、横展開、セキュリティ製品の無効化、バックアップ妨害、データ窃取、暗号化へ進みます。Trend Microは、正規ドライバの悪用、Group Policy（グループポリシー）の操作、独自のアンチウイルス回避ツール、暗号化されたデータ流出経路を確認しています。
3.内部流出データから見える実態
2026年5月初旬、The Gentlemenの内部チャットログとみられるデータがダークフォーラム上に出回りました。MBSDによれば、CSVファイル22個、PNG画像308個、JPG画像4個、合計3,733件のロシア語チャットが含まれ、期間は2025年11月7日から2026年4月30日までです。
Check Pointも、2026年5月4日にThe GentlemenのRaaS管理者が内部データベース流出を認めたと報告しています。この流出により、アフィリエイト、被害者、インフラ、運営体制の一部が見えたとされています。
この内部流出情報からは、彼らが無差別に攻撃しているというより、ZoomInfo（ズームインフォ）などの外部情報を使い、企業規模、業種、収益性、復旧困難性を見ながら標的を選んでいる様子がうかがえます。
4.事実認定できる情報
高い確度で事実と見てよいものは次の通りです。
The Gentlemenは2025年半ばごろに登場し、2026年に急拡大したRaaS型ランサムウェア集団です。Microsoft、Kaspersky、Trend Micro、Check Point、MBSDが独立に報告しています。
Windows、Linux、NAS、BSD、ESXiなど、複数環境を狙うロッカーを持ちます。ロッカーとは、ファイルを暗号化して使えなくするランサムウェア本体のことです。
SystemBC（システムビーシー）というプロキシ型マルウェアも関係事案で確認されています。SystemBCは、感染端末を中継点にして、攻撃者が内部ネットワークへ潜り込むためのトンネルを作る道具です。Check Pointは1,570超の感染ホストを確認したとしています。
5.事実から類推される推測情報
The Gentlemenは、未熟さを兼ね備えた新興集団ではないことだけは確かだと考えます。既存のランサムウェア界隈で経験を積んだ人物・アフィリエイトが関与している可能性が高いです。理由は、出現初期からRaaS運営、複数OS対応、アフィリエイト募集、被害者選定、交渉、流出サイト運営まで整っているためです。
IABとの関係もかなり自然な推測です。Kasperskyは、侵入から暗号化まで数時間のケースがある一方で、かなり前からアクセスが確立されていたように見えるケースもあるとし、初期侵入がThe Gentlemen自身ではなく別の集団やIABによる可能性を指摘しています。
Qilinからの分派・離脱説は有力ですが、断定は慎重にすべきです。HalcyonやMBSDはQilinとの関係を示していますが、これは組織全体の継承というより、関係者・アフィリエイト・運営ノウハウの移動と見る方が安全です。
6.未確認情報・注意すべき情報
「The GentlemenはBlack Basta（ブラックバスタ）の後継である」という主張がありますが、これは現時点では慎重扱いです。Ransom-ISACはBlack Basta後継系譜について「中〜高信頼度」の評価を示していますが、これは公開情報上、全研究機関が一致して断定している段階ではありません。
「AIでランサムウェアを作った」という話もありますが、その信ぴょう性には注意が必要です。Check Point系の発表ではDeepSeek（ディープシーク）やQwen（クウェン）などのAIコーディング支援を利用したとされていますが、これは「AIが自律的に攻撃した」ではなく、犯罪者が開発や管理パネル構築を早めるためにAIを使ったという意味に留めるべきと考えています。
被害者数についても、320件超、400件超、リークサイト掲載数、SystemBC感染ホスト1,570超等、数字の種類が混在しています。これは「暗号化被害者数」「リークサイト掲載数」「感染ホスト数」が別物だからと考えますので、あくまで評価指標の一つとしての参考情報に留めるが妥当かと。
7.追記
The Gentlemenは「新したに台頭してきたランサムウェア」というより、RaaSの分業化が進み、初期侵入・内部探索・データ窃取・暗号化・交渉・リーク公開が産業化している新たな事例と言えるでしょう。
特に重要なのは、暗号化そのものより前の段階です。MBSDの内部チャット分析でも、攻撃者にとって本当に重要なのは暗号化だけではなく、初期アクセス、権限取得、横展開、バックアップ妨害であることが示されています。
The Gentlemenの脅威は、ランサムウェア本体の性能だけではない。むしろ、IAB、アフィリエイト、AI支援、プロキシマルウェア、リークサイト、標的選定情報を組み合わせた“犯罪ビジネスの運用能力”にある。
これが最新の見立てといったところです。
コメント