ランサムウェア集団キリン(Qilin)中心人物の拘束は、アサヒ事件の逮捕ではない

10月上旬のニュースで「アサヒを攻撃したハッカーが日本で捕まった」と受け取った人は多いと思います。あなたもそうでしたか？

実際に捕まったのは、会社のデータを人質に身代金を求めるランサムウェア集団キリン（Qilin。ビールのキリンとは関係ありません）で、攻撃の仕組みを作る中心人物とされる、ロシア国籍の28歳の男です。

ドイツの捜査員が集団を内側から観察し続けて偽名の向こうの名前を突き止め、男が旅行で日本に来たところを、引渡条約のない日本が拘束してドイツへ渡しました。逮捕したのはドイツです。容疑はアサヒへの攻撃ではなく、2024年にドイツの物流会社を脅した恐喝です。

ランサムウェア集団キリンの中心人物、2024年9月から逮捕までの流れ

始まりは、アサヒの事件より1年前のドイツです。

表に入れなかったのが、ドイツの捜査員による潜入です。数か月かけて観察したと発表されていますが、いつ始まったかは公表されていません。

容疑はアサヒへのサイバー攻撃ではなく、ドイツの物流会社

日本の報道によると、男の容疑は、2024年9月にドイツのノルトライン＝ヴェストファーレン州（NRW州）の物流会社へ侵入し、データを盗んだ恐喝です。暗号化したうえで公開すると脅し、約2,600万円相当（16万5千ドル）のビットコインを要求しました。

キリンは、仕事を分けて動く集団です。ウイルスを作りシステムを管理する中心メンバーがいて、その仕組みを借りて企業を攻める実行役が別にいます。フランチャイズの本部と加盟店のような関係で、この形はRaaS（ランサムウェア・アズ・ア・サービス）と呼ばれます。男は本部側で、攻撃に使うシステムを組み立て、身代金の一部を受け取っていたとされます。

それでも「アサヒを攻撃した犯人が捕まった」と受け取ったのは、無理もありません。見出しの主語がはっきりしなかったからです。NHKの見出しは「ハッカー集団 中心人物か 国内で拘束 アサヒGHD攻撃にも関与か」、ビジネス+ITは「アサヒ攻撃にも関与」でした。関与したのが男なのか集団なのか、どちらにも読めます。日本テレビや時事通信の記事は、アサヒへの攻撃で犯行声明を出した集団という書き方で、主語を集団に置いていました。

男が攻撃に使うシステムを作る側でも、今回の拘束と逮捕の理由はドイツの件だけです。アサヒの件で罪に問われたという発表はなく、NOVAISTも、本人のアサヒ事件への関与は確認されていないと書いています。

Qilinの偽名の向こうの名前、ドイツの捜査員はどう近づいたのか？

捜査したのは、NRW州の州刑事局（LKA）と、ケルン検察の中にあるサイバー犯罪の専門部署（ZAC）です。捜査員はキリンの内側に潜り込んで数か月にわたって動きを観察し、2024年9月の事件で得た小さな手がかりから、無数のデジタルの痕跡を追いかけました。

10月7日の会見で、NRW州のベンヤミン・リンバッハ法相は「最後には、偽名の向こうに名前があった」と話しました（ZDFの報道、NRW州の会見告知）。ヘルベルト・ロイル内相は、日本で拘束された男の今をこう表現しています。「寿司の代わりに、いまはNRW州の拘置施設でチーズのパン」。

偽名から本名にたどり着いた方法は、公表されていません。分からない部分は、この記事でも推測で埋めません。

キリン中心人物の拘束が、旅行先の日本だった理由

名前が分かっても、それだけでは捕まえられません。ロシアは憲法で自国民の引き渡しを禁じているので、男がロシアにいる限り、ドイツが身柄を押さえるのは現実的ではありません。機会があるとすれば、男が国の外に出たときでした。

その機会が、2026年5月の日本旅行です。時事通信によると、警察庁のサイバー特別捜査部が来日の予定をつかみ、警視庁や大阪府警、京都府警と所在を確かめて、大阪市内のホテルで身柄を確保しました。来日の予定をどうやって知ったのかも、公表されていません。

ただ、日本とドイツの間には犯人を引き渡す条約がありません。それなのに、なぜ日本で拘束してドイツへ渡せたのでしょうか？

条約がなくても引き渡せた、逃亡犯罪人引渡法とは

日本が犯罪人引渡条約を結んでいる相手は、アメリカと韓国の2か国だけです（警察庁）。条約のない国からの請求は、逃亡犯罪人引渡法という日本の法律で受け付けます。法律にはっきり書かれた道です。

条件の中心は「お互いさま」の約束です。請求する国が「日本から同じような請求があれば応じます」と保証すれば、条約がなくても受け付けます。これを相互主義の保証と呼びます。今回の流れを法律に当てはめると、次のようになります。表の「仮拘禁」は、正式な請求が届く前に身柄だけ押さえる手続きのことです。

表に「2か月」が2回出てきますが、数え始めが違うと読めます。仮拘禁の2か月は最初の拘束から数え、その間に正式な請求が告げられなければ釈放です。審査の2か月は、告げられた時から通常の拘禁とみなされる（第27条3項）ので、そこから数えると読めます。この読み方なら、5月下旬の拘束から10月2日の引き渡しまで4か月余りかかっても、条文と食い違いません。各段階の日付は公表されていません。

仮拘禁とは、正式な請求が届くまでの身柄確保

正式な引渡請求の書類をそろえるには時間がかかります。その間に出国されないよう、先に身柄だけ押さえておく手続きです。

東京高裁の裁判官があらかじめ出した許可状で、東京高検の検察官が拘束します。日本の報道は5月下旬の拘束を「東京高裁の許可状による」と伝え、BleepingComputerは仮拘禁の許可状だったと書いています。

東京高裁が見たのは、引き渡してよい条件にあたるか

東京高裁が判断するのは、男の有罪・無罪ではありません。法律が定める「引き渡してはいけない場合」に当たらないかどうかです。

男は日本国民ではなく、問われているのは政治犯罪でもない恐喝です。東京高裁は「引き渡すことができる場合に当たる」と決定し、男は10月2日にドイツへ渡されました。

拘束、逮捕、起訴。キリン逮捕の続報を読むときの言葉の違い

日本での手続きは、引き渡しまで身柄を預かっておくためのもので、この記事では拘束と書いています。「逮捕」という言葉も報道に出てきますが、容疑者として逮捕したのはドイツの捜査当局です。

男はいま、ドイツで容疑者として調べられている段階で、有罪は決まっていません。続報に「起訴」や「判決」の言葉が出るまでは、容疑者のままです。

中心人物が捕まっても、キリンのランサムウェア攻撃は続くのか？

続いています。BleepingComputerによると、2026年6月以降もキリンのリークサイトには450を超える被害が載りました。

仕組みを作る側の1人が欠けても、実行役は残ります。NRW州の内相によると、キリンは2024年以降、世界で約4,000の企業や機関を恐喝しました。時事通信の報道では、日本国内でも2023年4月以降に53の企業や病院、学校が被害に遭っています。

それでも、私はこの拘束には意味があると考えています。ロシアの外に出れば押さえられるという前例は、集団の中にいる人たちにも届いているはずです。

アサヒに個人情報を預けていた人が気をつけること

アサヒグループHDは、問い合わせをした人や従業員とその家族、取引先などの個人情報について、漏えいのおそれがあると公表しています。2026年7月17日時点で会社が示した区分ごとの数を足すと、約228.9万件です。漏えいが確認された分は、別に公表されています。

男が拘束されても、漏れた情報は戻ってきません。アサヒを名乗るメールやSMSで、返金や確認を理由に個人情報やカード番号の入力を求められたら、届いたリンクは開かないでください。確かめるときは、自分で検索した公式サイトから入れば十分です。

あなたが次に「関与」という見出しを見たら、関与したのが人なのか集団なのかを確かめてみてください。今回のような取り違えは、それだけでかなり防げます。