netrunner

netrunner（NetRunner、攻撃者名義は「NetRunnerPR」）は、RansomLook の記録で初出が2026-04-02 とされるランサムウェアグループである。Cisco Talos は2026年上半期に日本で観測されたグループの一つとして NetRunner を挙げている [s3]。Cybereason はダークウェブ上で「NetRunnerPR」と名乗る攻撃グループが犯行声明を出したと伝えている [s4]。RaaS かどうか、活動開始時期、運営の特徴を述べた出典は見当たらない。

手口について、Cybereason は日本医科大学武蔵小杉病院の事例で、原因は「医療機器保守用VPN装置からの不正侵入」だったと伝えている [s4]。被害はナースコールサーバー3台に及び、電子カルテへの影響はなく、病院業務は通常どおり継続された [s4]。ベンダー管理のVPNは病院側の統制が直接及ばない侵入口になりやすく、ナースコールなどの医療機器（IoMT）は一般的なアンチウイルスを導入できない場合があるため、VPN を突破されると横展開を許しやすいと Cybereason は指摘している [s4]。同社はこの事例を、データを盗み出したうえで「支払わなければ公開する」と脅す二重恐喝の典型的な手口と位置づけている [s4]。使用ツールや脆弱性の具体名を挙げた出典はない。

交渉の圧力手段としては、武蔵小杉病院に対する1億ドル（約150億円）の身代金要求が確認されている [s4][s5][s6]。グループは約13万件のデータ窃取を主張し、証拠として CSV サンプルを公開したとされる [s4]。これは当時の公式発表の約13倍にあたる [s4]。病院は身代金を支払わなかった [s6]。4月には、要求を無視し続けるなら盗んだ約13万件の全データをインターネット上に漏洩させると追加で脅迫した [s4]。

標的と被害について、日本の事例は2件確認できる。1件目は2026年2月9日深夜1時50分頃に障害が発覚した日本医科大学武蔵小杉病院である [s4]。病院側は当初、約1万人分の患者情報が漏洩したと発表し、その後第五報で件数を修正した [s4]。Comparitech は、同病院の漏えいを2026年上半期の医療系ランサムウェア関連で2番目に大きい131,700人規模と整理している [s5][s6]。1億ドルはその期間で最大の身代金要求でもある [s5][s6]。この要求が影響し、上半期の医療機関向け平均要求額は600万ドルを超え、第1四半期の平均は1690万ドルに跳ね上がった [s5][s6]。2件目は愛知県の白梅豊岡病院で、個人情報漏洩が発表され、NetRunnerPR がダークウェブ上で犯行声明を出したことが確認されている [s4]。Cybereason は、NetRunnerPR が日本の医療機関を狙って連続的かつ組織的な攻撃を展開している可能性が高いとみている [s4]。

動向として、Cisco Talos は2026年上半期の日本の被害組織数を、前年同期の86件から4.7%増の90件としている。最多は The Gentlemen の14件で、NetRunner は NightSpire、LockBit 5.0、RansomEXX、Stormous、AiLock などとともに観測されたグループに含まれる [s3]。Cybereason は、武蔵小杉病院が身代金要求を無視し続けたことへの報復として、4月に追加の犯行声明が出されたと伝えている [s4]。そのうえで同社は、日本の医療機関を狙う動きを Qilin など過去に国内企業を狙ったグループと同様の傾向と位置づけ、侵入されることを前提とした優先度付きの検知・遮断を推奨している [s4]。リークサイトの所在や連絡手段のハンドルを示した出典はない。