RansomHouse、Water Balinsugu、Jolly Scorpius──同じ攻撃者に名前が3つある理由

前回、ニチレイへの攻撃で犯行声明を出した「RansomHouse」という集団について書きました。

あの記事を書くために、各社のレポートを読み比べました。そこで少し困ったことが起きます。

同じ集団の話をしているはずなのに、名前が全部違うのです。

• トレンドマイクロの記事 ─ 「Water Balinsugu（ウォーター バリンスグ）」
• Palo Alto Networks Unit 42 のレポート ─ 「Jolly Scorpius」
• 集団自身の名乗り、および報道 ─ 「RansomHouse」

初めてこの状況に出くわすと、「別のグループの話かもしれない」と読み進める手が止まります。実際、あるベンダーのレポートを読んで対策を打ったあとに、別のベンダーが同じ集団について警告を出していても、名前が違うので気づかない──ということが起こり得ます。

この記事では、なぜこうなっているのか、そして各社の名前の付け方の規則を整理します。

先に結論だけ言うと、規則を知っていれば、初めて見る名前でも属性が読めます。

「Water Balinsugu」の Water は、トレンドマイクロの分類で金銭目的を意味します。「Jolly Scorpius」の Scorpius は、Unit 42 の分類でランサムウェアを意味します。つまりこの2つの名前は、どちらも「金銭目的でランサムウェアを使う集団」と最初から告げています。Balinsugu や Jolly のほうには意味はありません。単なる識別用の符丁です。

これが分かると、海外ベンダーのレポートを読む速度が変わります。

なぜベンダーごとに名前が違うのか

素朴に考えると「業界で統一すればいいのに」と思います。実際、多くの人がそう思ってきました。

しかし統一が進まないのには、それなりの事情があります。

各社は「自分に見えている範囲」で線を引いている

一番大きい理由がこれです。

脅威アクターの名前は、そのベンダーが自社のセンサーで観測した活動の集まりに付けたラベルです。ここでいうセンサーとは、自社製品が世界中の顧客環境から集めているログ──EDRの検知記録、メールゲートウェイを通過した不審な添付ファイル、監視しているネットワーク通信などを指します。

各社で売れている製品も、顧客の業種も、強い地域も違います。そもそも見えているものが違う。

たとえばメール製品に強いベンダーは、その攻撃者のフィッシング活動をよく観測します。エンドポイント製品に強いベンダーは、侵入後の挙動をよく観測します。両者が「これは一つの集団だ」と判断して線を引いたとき、その線は同じ場所には引かれません。

そして各社は、独自に観測して、独自に線を引いた以上、独自に名前を付けます。 他社の名前をそのまま使うと、「他社の判断を無条件に信用した」ことになってしまう、という事情もあります。分析の結論は自社の責任で出す、という筋の話です。

だから対応表は「イコール」ではない

ここが実務上、地味に大事なところです。

後で紹介するように、いまは各社の名前を突き合わせた対応表が公開されています。便利なのですが、あの表の対応は「＝」ではありません。

各社が自分の観測範囲で線を引いている以上、A社の「Xグループ」とB社の「Yグループ」は、大部分が重なっているが輪郭は少しずれている、別々の集合です。B社のほうが観測範囲が広く、A社が別々の2グループと見ているものを1つとして扱っていることもあります。逆もあります。

なので、対応表は「だいたい同じものを指している」という目安として使うのが正しい距離感です。「A社のレポートを読んだからB社の警告も同じ内容だろう」と読み飛ばすと、片方にしか書かれていない情報を落とします。

デコーダー：各社の命名規則

ここからが本題です。主要ベンダーの規則を押さえておくと、初見の名前から属性が読めるようになります。

Microsoft ─ 気象

Microsoft は気象現象で分類しています。2023年に体系を刷新し、いまは公式ドキュメントで一覧が公開されています。

名前は「形容詞＋気象名」の2語です。気象名がカテゴリを表し、形容詞は同じカテゴリ内のグループを区別するためのものです。

国家が背景にある攻撃者は、国・地域ごとに気象名が割り当てられています。

国家背景ではない攻撃者は、動機ごとに気象名が割り当てられます。

最後の Storm は覚えておく価値があります。「Storm-0501」のような4桁の数字付きの名前を見かけたら、それはまだ素性が確定していない暫定コードという意味です。調査が進んで確信が持てると、正式な名前に昇格するか、既存のグループに統合されます。

つまり、報道で「Storm-XXXX による攻撃」と書かれていたら、それは「新種の攻撃者が現れた」というより「まだ誰なのか分かっていない」と読むのが正確です。

たとえば「Salt Typhoon」という名前を見たら、規則から「中国が背景にあるとMicrosoftが判断したグループ」と読めます。「Octo Tempest」なら「金銭目的の犯罪グループ」です。

CrowdStrike ─ 動物

CrowdStrike は動物で分類します。考え方は Microsoft と似ていて、国はその国を象徴する動物、動機は動物の性質で表します。

千里馬（チョルリマ）は北朝鮮の伝説上の馬で、国のスローガンにも使われています。こうして見ると、国の象徴から取っているのが分かります。

実務でよく効くのは SPIDER です。名前の末尾に SPIDER が付いていれば、それは金銭目的の犯罪グループ、つまり自社が身代金を要求される可能性のある相手です。国家背景のスパイ活動とは、優先度の付け方が変わってきます。

Palo Alto Networks Unit 42 ─ 星座

Unit 42 は星座で分類します。

Unit 42 の特徴は、ランサムウェアに専用のカテゴリ（Scorpius）があることです。他社が「金銭目的」でひとくくりにするところを、ランサムウェア・一般犯罪・BEC に分けています。

なので「〜 Scorpius」という名前を見たら、ランサムウェアグループだと即座に分かります。 冒頭の Jolly Scorpius がまさにこれです。

なお Unit 42 は、頭の形容詞（Jolly、Howling、Ignoble など）に意味はないと明言しています。同じカテゴリ内で区別するためだけのものです。

トレンドマイクロ ─ 古典元素

トレンドマイクロは古典的な四大元素を使い、動機を表します。

シンプルですが、実務ではかなり使える分類です。「Earth なら情報を盗みに来ている」「Water なら金を取りに来ている」と、自社が何を守るべきかが名前から直結します。

RansomHouse に付けられた Water Balinsugu は、この規則で読めば「金銭目的の集団」ということになります。前回の記事で見たとおり、実態と合っています。

Mandiant（Google）─ 番号

Mandiant は番号を使います。

• APT + 数字 ─ 国家が背景にあると判断された持続的攻撃グループ（例：APT28、APT29）
• UNC + 数字 ─ UNC は Uncategorized（未分類）の略。 まだ素性が特定できていないグループ

APT という言葉は一般名詞のように使われますが、「APT29」のような番号付きはMandiantの固有の呼称です。そして UNC は、Microsoft の Storm と同じ「調査中」を意味します。

番号なので属性は読めません。ただし APT なら国家背景、UNC なら未分類という区別だけは付きます。

名前だけで判断すると事故る例

規則を並べたところで、注意点を2つ挙げます。

① 同じ単語が、社によって別の国を指す

これが一番危ないところです。

Lynx（やまねこ） という単語は、Unit 42 と CrowdStrike の両方に出てきます。しかし指しているものが違います。

• Unit 42 の Lynx（やまねこ座）= ベラルーシ
• CrowdStrike の LYNX（動物）= ジョージア

規則を知らずに「Lynx と書いてあるから同じ国だろう」と判断すると、間違えます。名前を読むときは、必ずどのベンダーの体系かとセットで見る必要があります。

② 似た名前の、まったく別のグループがある

前回の記事の主役 RansomHouse には、名前のよく似た RansomHub という別のグループが存在します。2024年2月に登場した、これも活発なランサムウェアグループです。

そしてトレンドマイクロは RansomHub を「Water Bakunawa」と呼んでいます。

並べてみます。

どちらも Water で始まり、続く単語も B から始まります。 一文字違いで別のグループの話になります。社内で共有する際は、原文をあたって確認する価値があります。

2025年からの動き：統一ではなく「対応付け」

この状況に業界も手を打ち始めています。

2025年6月2日、Microsoft と CrowdStrike が共同の脅威アクター対応表を公開しました。 両社が追跡している80以上のグループについて、それぞれの呼称と別名を突き合わせたものです。その後、Palo Alto Networks と Google（Mandiant）も参加を表明しています。

主要4社が同じテーブルに着いたことになり、これは実務的にありがたい進展です。

ただし、誤解してはいけない点があります。

この取り組みは「業界で名前を統一する」ものではありません。両社が明言しているとおり、目的は対応付けです。各社はこれまでどおり独自の名前を使い続けます。

理由は前半で述べたとおりで、各社の観測範囲が違う以上、線の引き方も違うからです。名前を無理に一本化すると、その違いが見えなくなってしまいます。違いを残したまま、翻訳表を作る。 それが現実的な着地点だった、ということです。

そしてもう一つ。対応表に載っていないグループも、まだたくさんあります。

Microsoft が公開している対応表を確認しましたが、そこに RansomHouse / Water Balinsugu / Jolly Scorpius の対応は見当たりませんでした。今回のニチレイの件で日本の実務者が直面している集団が、まさにその「載っていない側」にいるわけです。

対応表は便利ですが、それだけに頼れる状態にはまだなっていません。

実務でどう読むか

では、情報システム部門として具体的にどうすればいいか。3つに絞ります。

① 名前を見たら、まず別名を確認してから社内に流す

海外ベンダーのレポートや報道で攻撃者名を見かけたら、社内で共有する前に別名を調べる習慣をつけてください。

無料で使える確認先があります。

• Microsoft の脅威アクター命名ドキュメント ─ 公式ドキュメントに、Microsoft の名前と他社名の対応表が掲載されています。CSV・Excel・JSON でも公開されており、更新も続いています
• Malpedia（ドイツの公的研究機関 Fraunhofer FKIE が運営）─ マルウェアと攻撃者の別名データベース
• MITRE ATT&CK ─ グループごとに別名（Associated Groups）が併記されています

ここで「この名前、実は3か月前に読んだあのレポートと同じ集団だった」と気づけるかどうかで、対応の速さが変わります。

② 最終的な照合は、名前ではなく手口と痕跡で行う

名前は目印にすぎません。自社に関係あるかを判断する材料は、名前ではなく TTP と IoC です。

TTP は攻撃の手口（どうやって侵入し、どう広がるか）、IoC は攻撃の痕跡（不審な通信先のIPアドレス、ファイルのハッシュ値など）を指します。

「うちが使っているVPN製品の脆弱性を突いてくる」「委託先アカウント経由で入ってくる」といった手口レベルの情報のほうが、名前より確実に行動につながります。名前が一致しなくても手口が同じなら、自社は同じリスクにさらされています。 逆に、名前が有名でも自社の環境と関係のない手口なら優先度は下がります。

前回の記事で挙げた「MFAの例外リスト」「EDR未導入サーバー」「ログ保持期間」の確認は、まさにこの手口レベルの対策です。攻撃者の名前が何であっても効きます。

③ 経営層への報告では、別名を併記する

これは地味ですが効きます。

経営層は報道で名前を目にします。報道が使う名前と、社内資料で使っている名前が違うと、「うちが調べているのと、ニュースでやっているのは別件なのか」という混乱が生まれます。

報告資料では、「RansomHouse（トレンドマイクロ社の呼称：Water Balinsugu、Unit 42社の呼称：Jolly Scorpius）」のように併記しておく。これだけで、あとから別ソースの情報が入ってきても話が繋がります。

補足：日本語の情報を読むときの注意

もう一点、日本の実務者に関わる話を付け加えます。

今回調べていて気づいたのですが、「Water Balinsugu」という呼称は、トレンドマイクロの日本語記事にはありますが、英語の情報源では見つけられませんでした。

同じベンダーでも、日本語圏と英語圏で発信している内容や粒度が違うことがあります。日本語記事で覚えた名前で英語の情報を検索しても出てこない、その逆もある、ということです。

日本語の記事で名前を知ったら、その集団の「自称の名前」（今回なら RansomHouse）も一緒に控えておくと、英語の情報源にたどり着けます。逆引きの鍵になるのは、たいてい集団の自称かリークサイトの名前です。

まとめ

攻撃者の名前がベンダーごとに違うのは、業界の怠慢ではありません。各社が自社の観測範囲で独自に分析し、その結果に責任を持って名前を付けているからです。

だから対応表は「＝」ではなく「だいたい同じ」であり、そして統一されることも当面ありません。

一方で、規則さえ知っていれば、初めて見る名前からでも属性は読めます。

• 末尾が Typhoon なら中国、Blizzard ならロシア（Microsoft）
• 末尾が SPIDER なら金銭目的の犯罪グループ（CrowdStrike）
• 末尾が Scorpius ならランサムウェア（Unit 42）
• 頭が Water なら金銭目的、Earth なら諜報（トレンドマイクロ）
• Storm-数字、UNC-数字 は「まだ正体が分かっていない」

そして実務では、名前で判断せず、手口と痕跡で照合する。社内共有と経営報告では別名を併記する。

冒頭の3つの名前に戻ります。RansomHouse、Water Balinsugu、Jolly Scorpius。

いま読むと、後ろ2つは同じことを言っています。金銭目的の、ランサムウェアを使う集団だと。名前そのものが、すでに分類情報を運んでいます。

名前に振り回されるのをやめて、名前を情報として使う。そのための地図が、この記事の中身です。

参考情報

• Microsoft「How Microsoft names threat actors」Microsoft Learn（2026年7月16日更新）
• Microsoft Security Blog「Announcing a new strategic collaboration to bring clarity to threat actor naming」（2025年6月2日）
• CrowdStrike「Naming Adversaries and Why It Matters to Your Security Team」
• Palo Alto Networks Unit 42「Threat Actor Groups Tracked by Palo Alto Networks Unit 42」（2025年8月1日更新）
• Palo Alto Networks Unit 42「From Linear to Complex: An Upgrade in RansomHouse Encryption」（2025年12月）
• トレンドマイクロ「Water Balinsugu（RansomHouse）とは？攻撃手法や特徴を解説」（2025年11月10日）
• トレンドマイクロ「Ransomware Spotlight: RansomHub」
• Malpedia（Fraunhofer FKIE）