INCランサムウェアはSonicWall Secure Mobile Access (SMA) 1000シリーズVPNデバイスの脆弱性を悪用する主要な脅威アクターとして浮上した。2026年8月初旬から活動を活発化させ、885の被害者を主張している。CVE-2026-15409とCVE-2026-15410の脆弱性は、コマンド実行とデバイスの乗っ取りに利用された。

これらの脆弱性はゼロデイ攻撃として利用され、高価値な資格情報、アクティブセッションデータベース、TOTP MFAシード構成の抽出につながった。これは長期的な持続的アクセスを確保し、企業ネットワーク内での横方向移動に利用された。INCランサムウェアはこの脆弱性チェーンを積極的に武器化する主要な脅威アクターとして浮上した。

INCランサムウェアの2026年7月17日～8月1日の新たな被害者リストには、オーストラリア、米国、アラブ首長国連邦、コロンビア、スイスなどの国々の民間および政府機関が含まれている。被害者はランサムウェア問題の解決を主張する不明な組織からメールや電話を受け取った。一部のケースでは、被害者は「Andrew」という人物から+1 (304) 384-0401の番号から連絡を受け、さらに交渉するためにinfo@helprans[.]comのメールアドレスが提供された。