世界の代表的なハッカー集団とは？【2026年度版】
インターネット上で「ハッカー集団」と呼ばれる存在は、実態としては大きく次の4タイプに分かれます。
- 国家支援型（APT）：諜報・影響工作・重要インフラへの事前侵入（pre-positioning）など
- サイバー犯罪組織：ランサムウェア／恐喝／詐欺など金銭目的
- ハクティビスト：政治的主張・抗議（DDoS、改ざん、情報暴露など）
- 合法なハッカー組織・コミュニティ：セキュリティ研究、啓発、政策提言
なお、脅威アクターの名称は組織やベンダーによって異なる場合があり、同一集団が複数名で追跡されることもあります。
本記事では、2026年度時点で「国際的に追跡・参照されやすい」代表例を中心に、概要・特徴・防御観点・参照URLを整理します。
1. Anonymous（国際／ハクティビズム）
- 概要：分散型のハクティビスト的集合体。明確な統一組織というより「名乗り」として使われることも多い。
- 特徴：政治・社会テーマに反応しやすく、キャンペーン（Operation〜）単位で活動が見えやすい。
- 防御観点：短期的なDDoSや改ざんに備え、CDN/WAF、レート制限、監視・復旧手順の整備が重要。
- 参考：Wikipedia「Anonymous (hacker group)」
2. Killnet（親露ハクティビスト／DDoS中心）
- 概要：親ロシア系のハクティビスト集団として知られ、主にDoS/DDoSを中心に注目されてきた。
- 特徴：地政学イベントに連動して標的が変わりやすい。SNS上の“戦果主張”と実害の切り分けが必要。
- 防御観点：DDoS耐性（回線/プロバイダ連携、CDN/WAF、切替手順）と、広報・顧客連絡のテンプレ整備。
- 参考：Wikipedia「Killnet」、Radware Cyberpedia（解説）
3. NoName057(16)（親露ハクティビスト／DDoS）
- 概要：親ロシアのハクティビスト集団として追跡され、DDoSを主に実行するグループの一つ。
- 最近の動き：国際的な法執行機関による摘発・対処の動きも報告されている。
- 防御観点：被害の多くは可用性（停止）なので、冗長化・代替導線（緊急案内ページ等）を用意。
- 参考：Europol（NoName057(16)への国際作戦の公表）、Wikipedia「Noname057(16)」
4. 親露ハクティビスト群（複数グループの緩やかな連動）
- 概要：単一組織というより、複数の親露系ハクティビストが状況に応じて“連動/便乗”し得るという捉え方が実務的。
- 特徴：DDoSなど「短期・大量・広範」になりやすい一方、侵入（情報窃取）とは別軸で評価が必要。
- 防御観点：重要システムと公開Webを分離、復旧SLA、対外説明（原因・影響・復旧見込み）を準備。
- 参考：CISA（親露ハクティビストの活動傾向に関するアドバイザリ）
5. LockBit（ランサムウェア犯罪組織／RaaS）
- 概要：ランサムウェアを“サービス化（RaaS）”し、アフィリエイト（実行役）を募って拡大してきた代表格。
- 最近の動き：国際的な法執行機関がインフラ妨害・差し押さえ等を公表（Operation Cronos）。その後も再編・再出現の示唆が語られている。
- 防御観点：初動（侵入検知〜隔離）と復旧（バックアップ、DR訓練）が勝負。特に権限管理・MFA・脆弱性管理が基本。
- 参考：Europol（妨害作戦の発表）、NCA（英国当局の発表）
6. Scattered Spider（サイバー犯罪／ソーシャルエンジニアリング重視）
- 概要：技術的ゼロデイだけでなく、ヘルプデスク/コールセンター等を狙う“人を突く侵入”で知られる犯罪グループとして警戒されている。
- 最近の動き：官民で注意喚起の更新が出ており、業界横断で対策（本人確認プロセス等）の見直しが求められている。
- 防御観点：パスワード再発行やMFA再登録の手続き強化、特権IDの追加本人確認、ID連携ログ監視が重要。
- 参考：CISA（Scattered Spiderアドバイザリ／更新情報）、CrowdStrike（解説）
7. APT29（別名：Cozy Bear / Midnight Blizzard 等／国家支援型）
- 概要：国家支援型として広く追跡され、複数名で呼ばれる代表的APT。
- 最近の動き：MicrosoftがMidnight Blizzardによる侵害とその後の攻撃試行について公表している。
- 防御観点：レガシーアカウント棚卸し、MFAの徹底、パスワードスプレー検知、特権IDの厳格化、メール/クラウド監視。
- 参考：MITRE ATT&CK（APT29）、Microsoft Security Blog（Midnight Blizzardの公表）
8. Volt Typhoon（国家支援型／重要インフラの事前侵入が論点）
- 概要：重要インフラ領域への潜伏・事前侵入が論点として取り上げられ、国際的に追跡されている。
- 特徴：正規ツール悪用などで“目立たない活動（living-off-the-land）”が語られることが多い。
- 防御観点：境界機器の脆弱性管理、認証情報保護、管理系ネットワークの分離、ログ取得範囲の拡大。
- 参考：MITRE ATT&CK（Volt Typhoon）、CISA（関連アドバイザリ）
9. APT41（国家支援＋金銭目的の“二面性”が指摘される）
- 概要：国家支援の諜報活動に加えて金銭目的の活動も指摘される代表的グループとして参照される。
- 特徴：幅広い業界が標的になり得るため、業種問わず“基本対策の徹底”が重要。
- 防御観点：KEV（既知悪用脆弱性）対策の即応、境界防御の強化、侵入後の横展開を止める権限設計。
- 参考：MITRE ATT&CK（APT41）、CISA（中国系国家支援アクター対策アドバイザリ）
10. Chaos Computer Club（CCC）（ドイツ／合法なハッカー組織・コミュニティ）
- 概要：ヨーロッパ最大級のハッカー団体として知られ、プライバシーや監視問題、技術と社会の論点を扱う。
- 特徴：攻撃組織ではなく、セキュリティ啓発・研究・政策提言の側面が強い（“ハッカー文化”の代表例）。
- 活用観点：企業側は、CCC等の議論を「プライバシー設計」「透明性」「脆弱性対応方針」に活かしやすい。
- 参考：CCC公式サイト（About/Clubページ）
まとめ（企業が押さえるべき実務ポイント）
- 名前より分類：国家支援／犯罪／ハクティビズムで優先対策が違う（可用性・機密性・復旧戦略）。
- まず基本：脆弱性管理、MFA、特権ID統制、ログ/監視、バックアップ訓練が“効く確率”が高い。
- 人を突く侵入：ヘルプデスク手続き、本人確認、再発行ルールの強化が被害差を作りやすい。
- 対外対応：DDoSや侵害時の説明テンプレ、復旧見込み、代替導線を事前に用意。