Lamashtu

Lamashtu は、2026年4月に姿を現した恐喝グループである。RansomLook の記録では初出は2026年4月12日で、連絡手段は email とされている[s1]。BeforeCrypt も2026年4月の出現とし、カウントダウンタイマー、被害組織ごとの侵害レポート、公開 API を備えた専用の Tor リークサイトを運営していると説明している[s3]。名称の由来や、RaaS（アフィリエイト型）かどうかについて、出典に記述はない。

BeforeCrypt によれば、2026年10月までのオープンソース調査では、このグループに結び付く暗号化ツール、ファイル拡張子、ランサムノートは記録されていない。そのため同社は、確定した暗号化型ランサムウェアではなく、データ窃取と公開を軸にした活動として追跡している[s3]。一方、digitalrecovery.com は Lamashtu を重要データを暗号化するランサムウェアとして紹介しており、医療、教育、製造、金融などへの影響を挙げている[s5]。ただしこれは一般的な説明で、個別の観測結果は示されていない。同じく Dragos は2026年第2四半期の全体傾向として、恐喝モデルが暗号化からデータ窃取のみの運用へ移りつつあると指摘している[s4]。

手口の中心はデータ窃取と公開による圧力である。BeforeCrypt は ATT&CK の T1567 に当たる Data Exfiltration を挙げている。リークサイトの掲載にはファイル数、データ量、証拠サンプルが表示され、公表前にデータが持ち出されていることを示すという[s3]。各被害組織のページにはカウントダウンタイマーと侵害影響レポートが付き、企業の担当者に連絡を促す指示が書かれている[s3]。リークサイトは Lamashtu[.]Blog（Tor）とされ、/api/posts という公開エンドポイントが、主張する被害組織の一覧を機械可読な形で返す[s3]。

交渉は非公開の email で行われる。RansomLook が記録する連絡先ハンドルは LamashtuSupport@onionmail[.]org である[s1]。身代金額や支払いポータルは公開されていない[s3]。被害組織のシステム上にランサムノートのファイルが置かれた例は、オープンソースの報告では特定されていない[s3]。

標的は、中規模の製造業、専門サービス業、食品製造業が中心で、欧州、米州、東南アジアに及ぶと BeforeCrypt は述べる。ドイツやオーストリアなどDACH地域の被害組織も、グループが主張する被害に含まれている[s3]。日本の組織名や被害時期は、出典に挙がっていない。

被害主張数は、Ransomware.live が2026年6月17日までに34件、SOCRadar が2026年9月30日までに44件と数えている[s3]。出現から約半年で件数が増えており、活動は継続している。他グループとの関係や摘発、改名に関する記述は出典にない。

実務上の要点は、バックアップがあってもデータ窃取のリスクは残ることである。被害組織が掲載された場合は、何が持ち出されたかを特定し、カウントダウンの期限が切れる前に対応方針を決める必要がある[s3]。