航运公司和港口卷入大规模网络勒索——n0n一次性点名38家海事企业，共享漏洞疑云笼罩全球供应链

原创

网空闲话
网空闲话

网空闲话plus

2026年10月15日 07:03
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月12日，一个名为n0n的网络勒索组织在暗网泄露网站上一次性发布了38家航运、港口和物流企业的名单，要求这些企业在10月19日13:27 UTC之前支付赎金，否则将公开据称窃取的数据。网络安全公司SOCRadar于10月13日发布分析报告，指出此次攻击可能源于一个共享应用程序或漏洞，而非38起独立入侵事件。这一批量行动不仅使该组织的公开受害者数量翻倍，更标志着其从跨行业机会主义攻击者向具有明确行业聚焦的威胁行为体转变。

一、n0n：从机会主义到海事聚焦

据SOCRadar报告，n0n是一个出于经济动机的数据窃取勒索组织，于2026年9月首次出现。该组织通常利用信息窃取恶意软件获取的凭证进入目标网络，窃取Active Directory映射、法律文件等材料，然后通过暗网泄露帖子向受害者施压。SOCRadar将其来源国标注为“可能为俄罗斯”，并描述其“避免传统勒索软件部署，转而使用管理工具操纵受害者数据”。不过，其ATT&CK映射仍包含加密和恢复抑制技术，因此防御者不应排除破坏性影响的可能性。

在此次海事领域攻击之前，n0n的受害者分布广泛且机会主义色彩浓厚。截至2026年10月8日，其最初的21个受害者横跨投资公司、电信、零售、教育和制药等行业，分布于17个国家，包括对Fanatics、Transcom WorldWide、AstraZeneca Türkiye、阿根廷教育部、STOKR和委内瑞拉互联网提供商Inter的指控。SOCRadar将其攻击性评级接近最高，但致命性评级接近零。

二、攻击规模：38家、18国、韩国12家

10月12日发布的38家组织几乎覆盖了集装箱供应链的每一个环节。从码头闸口到航运公司，从港口代理到连接它们的IT系统，均在此次攻击范围内。

具体来看，名单包括12家集装箱码头和港口运营商，如巴西的Santos Brasil、Portonave和Superterminais，土耳其的Asyaport，韩国的MGNP、BNCT和釜山新港公司，西班牙的TTI Algeciras，摩洛哥的Eurogate Tanger，印度的NCT Kandla，越南的南定武港，以及沙特阿拉伯的NEOM Ports。10家航运公司和船舶运营商包括新加坡的海洋网联船务、c国的xxLines、台湾的T.S. Lines、韩国的Polaris Shipping、Dong-A Tanker、Samjoo Maritime和Korea Ferry，日本的Camellia Line和Tsuneishi / Kambara Kisen，以及印度尼西亚的Samudera。此外，还有5家港口IT、EDI和码头系统提供商，8家代理、物流、堆场和检验机构，以及3家邻近行业企业。

值得注意的是，韩国在此次攻击中占据12个条目，涵盖码头运营商、釜山港口IT提供商、船舶代理、内陆集装箱堆场和韩国航运公司。SOCRadar的韩国威胁态势报告发现，该国的勒索软件攻击主要集中于金融、保险和制造业，这使得如此规模的海事集群格外引人注目。另一个值得关注的细节是五家港口IT和码头系统提供商的 presence——这些企业的业务本质是持有其他公司的运营数据。

三、共享漏洞疑云：三大证据

SOCRadar的分析指出，海事条目背后的详细信息页面指向一个暴露的应用程序或漏洞，而非38起独立的网络入侵。已审查的帖子描述了小型、范围狭窄的数据集：南定武港涉及23,507个EDI消息文件，涵盖船舶时刻表、集装箱清单、闸口移动记录和与多家国际航运公司交换的预订消息；ILCS Pelindo涉及2.4 GB、108个文件；釜山新港公司涉及1.5 GB、774个文件；Eurogate Tanger涉及660 MB、354个文件；BMT IQ涉及90 MB、18个文件；EUSU Logistics涉及60 MB、41个文件。

SOCRadar提出三项观察支持共享入口点的判断：规模上，每个已审查的条目都将其数据呈现为完整档案或副本，但数据量从60 MB到2.4 GB不等，文件数量从18到774个，这是单个应用程序数据存储的特征，而非被攻陷的企业网络；内容上，相同的狭窄类别在不同国家和业务类型中反复出现，如EDI消息、清单、闸口和设备交换记录、码头系统配置、发布文档和部署材料；访问上，SOCRadar检查了n0n受害者域名的窃取日志数据，未发现许多海事组织的凭证匹配，因此窃取凭证——n0n此前记录的入口点——无法解释此次批量攻击。

这一模式类似于此前的mass-exploitation勒索活动，如2023年针对MOVEit Transfer和2024年针对Cleo的攻击，其中一个广泛部署的文件传输产品中的漏洞产生了长长的受害者名单，其数据均来自该单一应用程序。目前没有证据将n0n与这些活动联系起来。共享来源还扩大了暴露范围，超出了38个名字。南定武港的帖子本身指出，其档案将暴露停靠该码头的每家承运人的货物流、预订关系和运营记录。

四、勒索机制：固定价格与付费谈判

n0n的泄露网站充当公共记分板。每个条目都带有状态和倒计时，状态包括“PENDING EXPOSURE”（受害者被匿名化为“Company #N”，发布日期为一至三天后）、“NOT PAID, EXPOSED”（受害者被点名，附有发布日期和倒计时）和“HONORED”（受害者在截止日期前达成和解；一家加拿大金融服务公司带有此标签，和解日期为2026年10月7日）。

海事批次打破了该组织此前的节奏。海事条目被点名发布，已审查的条目共享单一发布时间：2026年10月19日13:27 UTC，为期七天的窗口。统一截止日期与一次性处理的批次一致，这支持了上述共同数据源的可能性。

已审查的详细信息页面设定了以美元计价的固定和解金额及其比特币等值，以及专用的比特币地址。页面声明付款在链上自动验证，一旦全额到达，数据将被销毁，页面将被移除，无需注册、联系或谈判。但谈判是有代价的：Eurogate Tanger和ILCS Pelindo页面提供一次性选项，将和解金额的10%单笔交易发送至同一地址，然后使用交易ID申请私人谈判室。对于Eurogate Tanger，入场费为5.7 BTC，约60万美元；对于ILCS Pelindo，为2.3 BTC，约24万美元。赎金要求并不随数据量缩放。EUSU Logistics面临已审查的最高要求，60 MB数据索要1400万美元，而ILCS Pelindo的2.4 GB仅索要240万美元。

五、影响与不确定性：10月19日成试金石

n0n的指控在数据发布或受害者确认之前应视为未经证实。在SOCRadar在海事浪潮前追踪的21个受害者中，19个仍处于“Claimed”阶段，一个被列为正在谈判，一个（Chibitek）已有数据泄露。截至撰写时，没有上市海事组织公开确认事件；该组织此前的高调指控，包括对Fanatics和Transcom WorldWide的指控，也未得到点名公司的公开确认。

海事网络安全公司Cydome指出，此次事件可能与海事软件提供商CyberLogitec的相关环境有关，但强调尚未确定任何安全漏洞的来源或范围。SOCRadar强调，所有上市的海事公司均未公开证实其系统遭到入侵，也未证实n0n拥有其声称掌握的数据，因此该组织的说法应被视为未经证实。10月19日截止日期是最有用的测试：数据是否出现、出现多少、是否与描述相符，将显示n0n实际掌握的内容。

六、应对建议与后续

对于海事和物流组织，SOCRadar建议，无论是否被列入名单，任何与上述公司交换EDI的组织都应计划其运营数据可能出现在10月19日发布中的可能性。具体措施包括：映射共享平台，识别港口社区系统、EDI枢纽、码头系统供应商和文件传输服务；修补和审查暴露接口；轮换集成凭证；检查信息窃取暴露；关闭远程访问缺口；准备交易对手暴露；跟踪n0n活动。此次事件再次凸显全球航运和港口行业面临的网络安全威胁日益严峻，供应链的互联互通意味着单个应用程序的漏洞可能产生连锁反应，波及整个生态系统。

参考文献

1. SOCRadar. n0n Group Puts Dozens of Global Ports and Shipping on Its Leak Site. 2026-10-13. https://socradar.io/blog/n0n-group-global-ports-shipping-leak/
2. Bojan Lepic. Shipping firms and ports caught in mass cyber extortion claim. Splash247, 2026-10-14. https://splash247.com/shipping-firms-and-ports-caught-in-mass-cyber-extortion-claim/
3. DataBreaches.net. Shipping firms and ports caught in mass cyber extortion claim. 2026-10-14. https://databreaches.net/2026/10/14/shipping-firms-and-ports-caught-in-mass-cyber-extortion-claim/