勒索事件日报：2026年-10月-13日

原创

MasterC
MasterC

企业安全实践

2026年10月14日 08:46
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

10月13日全球勒索站点新增55起：Wallstreet一次性挂出11条瑞典建筑与工程顾问主体，新团伙HYFLOCK首发8条、受害域名凭据泄露占比85.7%，N0n的匿名编号条目到期后转为实名公开。

一、勒索数据概述

2026年10月13日（UTC自然日），全球勒索泄露站点新增 55 起 受害者披露，来自 17 个 团伙，分布在 20 个国家与地区，另有 9 起未带国别标记。总量处于近一周的中位水平，比前一日（75 起）回落 26.7%，但明显高于 10 月 11 日的 21 起。

把这一天放回连续曲线：10 月 5 日 51 起、6 日 21 起、7 日 24 起、8 日 32 起、9 日 82 起、10 日 29 起、11 日 21 起、12 日 75 起、13 日 55 起。曲线在 12 日被 N0n 拉到顶点后由 55 起接住，没有立刻回落到 20 余起的地板位——这说明当日的量不完全依赖单一团伙，而是由两个新面孔（Wallstreet、HYFLOCK）共同撑起。

结构上，这一天最醒目的是两个集中投放的团伙对冲了 N0n 的收缩。Wallstreet 一次性挂出 11 条，其中 10 条全部来自瑞典，且集中在建筑设计、工程顾问与养老照护；HYFLOCK 作为 9 月才出现的新团伙，一次性首发 8 条，横跨加拿大、巴西、沙特、印度、孟加拉、厄瓜多尔、土耳其七国。而前一天独占半壁的 N0n 当日只挂出 6 条，且攻防节奏发生了质变——它把两天前以匿名编号挂出的条目，换成了实名。

同一天里，两条截然不同的路线并行：Wallstreet 在做一个国家的行业生态，HYFLOCK 在用窃来的凭据满世界捡漏。前者是精准的、可预测的批量作业，后者是漫射的、机会主义的存量变现——这一天的 55 起，是两种打法在同一天的叠加，而不是某一次攻击潮的延续。

二、被攻击单位分析（受害者清单）

当日 55 起的完整清单如下（行业归类依据公开业务描述推断；本日站点清单与条目描述中未见中国内地及中国香港、中国台湾、中国澳门主体）：

清单里有三处细节必须点出来。其一，Wallstreet 的 11 条里没有一条来自制造业或零售业——建筑设计事务所、工程顾问、城市规划、控股投资、养老照护，这是一条完整地指向「项目型企业」的目标带。这类企业的共同点是项目资料、投标文件与客户合同高度数字化，且对停工极其敏感，而它们几乎不会把自己归类为关键基础设施。

其二，HYFLOCK 的 8 条彼此之间毫无关联。加拿大的会计咨询、巴西的工业加热系统、沙特的综合企业、印度的化工与饮料、孟加拉的本地宽带接入商、厄瓜多尔的国家警察总部、土耳其的医药卫生用品商——除了「数据能被快速变现」这一点，挑不出第二个共同特征。这是典型的凭据驱动型随手攻击，而不是有行业偏好的定向作业。

其三，当日的实名与匿名是同一条时间线上的两个阶段。N0n 挂出的 Hunter Neurology 是澳大利亚新南威尔士的神经科诊所，而两天前（10 月 11 日）该团伙以「Company #21」的匿名编号挂出的正是一家「位于澳大利亚新南威尔士的神经科诊所」，并标注数据将于 10 月 13 日 12:37 UTC 公开——匿名条目到期，实名条目上线。同一天挂出的 MarieBelle New York（纽约糖果兼远程医疗）与 PG Group（密歇根大麻零售商），也可以在前两日的匿名编号中找到对应条目。这意味着「匿名条目」并非另一批受害者，而是同一批受害者的施压预热。

三、行业维度分析

当日的行业分布被 Wallstreet 一家改写：建筑设计与工程顾问相关主体 11 起，占全日的 20.0%，是当日最大的单一板块。这 11 起里有 10 起来自瑞典，涵盖建筑事务所四家、工程与建筑顾问三家、城市规划与工业支持各一家、控股投资一家，外加德国一家养老机构。把建筑与养老照护这两类「项目型、低冗余」的组织放在同一批里投放，说明攻击方挑选的不是行业，而是「停工代价高、数据集中度高」的组织形态。

专业服务（律所、会计、审计、咨询）是当日第二大板块，合计 6 起：美国马里兰州的 Iliff, Meredith, Wildberger & Brennan 律所、美国 Milstein Siegel、加拿大卡尔加里的 YYC Advisors 会计咨询、阿根廷的 CMC AUDITORES、德国的 DFK Group，以及未披露具体业务的一家美国专业服务企业。律所与会计机构在当期已经连续多日上榜，它们掌握的是客户资金、信托账户与并购尽调资料，泄露的连带损失远超自身营收规模。

医疗健康延续高位，当日 5 起且横跨四国：澳大利亚的神经科诊所 Hunter Neurology、挪威背景的医疗设备与急救培训企业 Laerdal、眼科医疗影像企业 Topcon Healthcare、瑞典的养老照护机构 Danvikshem、土耳其的医药与卫生用品商 merkezilac。医疗是唯一在当日被四个不同团伙同时选中的行业——N0n、everest、Wallstreet、HYFLOCK 各取一家，这说明医疗标的在当前生态里是跨路线通用的高价值选项，而不是某一家的偏好。

政府与关键基础设施在当日出现了两起值得单独记下的目标：厄瓜多尔国家警察总部（Comandancia General de la Policía Nacional）与墨西哥维多利亚市市政供水与污水管理局（COMAPA Victoria）。前者是执法机构，后者是市政水务——两起都不属于传统商业目标，且一旦停摆会直接影响公共服务。其余分布：制造与工业 5 起、金融与保险 4 起、科技与 IT 服务 3 起、食品与消费零售 3 起、航运与物流 2 起、贸易与未披露 9 起。

四、区域维度分析

按条目国家/地区归属统计，当日分布是：瑞典 10 起（一枝独秀）、美国 11 起、德国 3 起、英国 2 起、法国 2 起、印度 2 起、加拿大 2 起、巴西 3 起，澳大利亚、新加坡、沙特阿拉伯、土耳其、阿联酋、意大利、墨西哥、秘鲁、阿根廷、厄瓜多尔各 1 起，另有 9 起未标注。

这一天最需要解释的是瑞典的 10 起。在以往的日报里，瑞典是一个常年个位数的国家；这一天它靠 Wallstreet 单团伙的 10 条投放直接冲到单一国家前列，占全日 18.2%。10 起集中在斯德哥尔摩及周边的建筑设计与工程顾问行业，本质上是一次「按国家 + 按行业」的象限切割，与前一天 N0n 对全球港口业的做法同构，只是把切割面从行业换成了国家。

但站点的国别标记本身带有噪声，必须先校准再下结论。举三个例子：HYFLOCK 挂出的 IGPL 站点标记为尼日利亚，条目描述却明确写着「成立于 1988 年、总部位于孟买」（印度）；play 挂出的 Saddlers Court MFG 站点标记为英国，描述写的是「United States」；同组的 Advanced Imaging Solutions 标记则是一个内部代码而非国家。把国别字段直接当结论使用会引入系统误差，本节的区域归类已回到条目原文逐条核对。

当日的区域重心仍在欧洲与北美：欧洲合计 18 起（32.7%），北美 13 起（23.6%），拉美 7 起（12.7%），亚洲 4 起（7.3%），中东与北非 3 起（5.5%），大洋洲 1 起。与 10 月 12 日亚洲首次反超北美不同，这一天欧洲重新回到首位，而驱动因素完全是 Wallstreet 的瑞典集群。

五、攻击团伙分析（团伙分布）

当日 17 个团伙的分布如下：

Wallstreet 是这一天的主角。它最早于 2026 年 6 月出现在泄露站点上，累计 39 起、10 国，平均延迟（攻击到披露）约 10 天，这个节奏说明它是有计划地分批释放，而不是实时投放。当日 11 条中 10 条集中在瑞典一地，与其历史画像（美国 20、瑞典 10、英国 2）高度吻合——瑞典本就是它的第二主战场，这一次把库存集中清了。

HYFLOCK 是一个必须开始盯防的新面孔。它 9 月 9 日才留下第一条攻击时间记录，站点标题自称「Data Intelligence Platform」，当日一次性首发全部 8 条，且 85.7% 的受害域名存在凭据泄露记录——这个比例在当日所有团伙里最高。换句话说，它的入口大概率不是漏洞，而是从暗网市场买来的账号密码。

N0n 的当天数据看似平淡，实则信息量最大。它从前一日的 38 起收缩到 6 起，但这 6 条里有 3 条是匿名编号（#63/#64/#65）、3 条是实名，且实名条目与两天前的匿名条目一一对应。这说明 N0n 采用的是一套「先匿名挂出、标注倒计时、到期转实名」的两阶段流程：匿名阶段的作用是把压力先落在「你不知道自己是不是那一号」上，实名阶段才真正公布身份。前一日那批港口大投放，很可能就是这一流程第一次大规模运行的结果。

其余团伙可以分成两类。一类是老牌存量：qilin（累计约 2400 起）、play（累计 1300 余起）、everest（412 起）、incransom（900 余起）、ransomhouse（213 起）——它们当日各自只有 1 至 4 起，是典型的存量常态化出摊，不构成事件。另一类是低频精准团伙：direwolf 选中秘鲁最大的保险公司 Interseguro，aurora 选中美国商业财险经纪商 The Buckner，emperador 选中阿根廷审计机构——低频不等于低效，这一天里最值钱的三个目标恰恰来自只有 1 起记录的团伙。

六、攻击手法分析

HYFLOCK 的手法可以用一句话概括：不加密、只偷数据，且入口是凭据。它的 8 条条目里没有任何一条披露加密或系统瘫痪，全部以「已获取的数据清单」呈现，而 85.7% 的受害域名能在历史泄露库中找到员工账号记录。配合它「Data Intelligence Platform」的自我包装，这是一个以数据倒卖而非勒索谈判为主业的团伙，赎金只是它变现链条上的一环。

Wallstreet 走的则是「静默渗透 + 延迟释放」的路子。平均 10 天的披露延迟意味着攻击早已完成、数据早已到手，真正在做的只是选择什么时间点把名字挂出来。当日 10 家瑞典企业的数据被同时放出，这种「攒够一批再一起亮牌」的操作，制造出的行业恐慌远高于零散披露——同城同行的名字一起出现在泄露页面上，压力是叠加的。

N0n 的两阶段机制是目前观测到最成熟的一套施压设计。匿名条目配「PENDING EXPOSURE」与精确到分钟的公开时间（如 10 月 13 日 12:37 UTC），把谈判窗口压缩成一个可见的倒计时；到期后转实名，等于在告诉所有潜在受害者：「编号会变成名字」。从当日披露的数据类型看，N0n 的取数依然聚焦业务运营层——齿科技工所的 CAD/CAM 数据、糖果企业的 QuickBooks 完整账套、大麻零售商的完整客户名录、包装企业的挤出工艺参数，全是「离了它业务转不动」的资料。

跨团伙的共同点仍是「数据窃取优先于加密」。everest 的三条条目干脆连国别都未标注，只挂出企业名与攻击时间；AuditTeam 的四条里有三条直接把客户名称打码（ADed、Zece、Sage），这通常意味着双方仍在谈判、或已就披露范围达成默契。反过来看，当日的 55 起里没有任何一起因加密瘫痪而进入公共视野的事件——攻击方要的是数据这座「资产」，而不是把受害者的系统变成废铁。

七、攻击动机分析

•︎ 单国行业生态批量施压（Wallstreet，11 起）——目标不是某一家事务所，而是瑞典建筑与工程顾问这个行业本身。同城同行被同时点名，行业内的信任链与转包关系会连带受损，这是把「行业恐慌」直接换算成赎金筹码的做法。

•︎ 凭据捡漏走量（HYFLOCK，8 起）——85.7% 的受害域名存在凭据泄露，目标是七个国家里「能快速变现数据」的企业。单笔金额不高，但获取成本极低、可复制性极强，靠的是规模而不是精度。

•︎ 两阶段胁迫（N0n，6 起）——匿名编号先建立「可能被选中」的普遍焦虑，倒计时届期转实名兑现。这套机制的价值在于把谈判起点前移：受害者在被点名之前就已承受压力，留给自己的准备时间被压缩到几天以内。

•︎ 公共服务杠杆（COMAPA Victoria 市政水务、厄瓜多尔国家警察总部）——水务与执法机构一旦停摆，社会影响远超商业损失。攻击方赌的是市政与公共部门的应急预算与政治压力，这类目标的赎金谈判往往由非技术决策者拍板，反而更容易妥协。

•︎ 合规与受托风险（律所、会计师事务所、保险与医疗）——当日专业服务与医疗合计 11 起。律所掌握客户资金与信托信息、保险经纪掌握投保人隐私、医疗机构掌握健康数据，泄露都会触发强制通报义务，受害方「不付」的账单会被合规成本迅速放大。

八、攻击趋势分析

•︎ 攻击面从「供应链连接层」回摆到「区域行业生态」——前一天 N0n 枚举的是全球港口、班轮与航运 IT 这条跨国的供应链；这一天 Wallstreet 枚举的是瑞典一国内的建筑与工程顾问行业。两种切割方式本质上一致：先选定一个「共同依赖」的维度（行业或国家），再把这个维度下的组织成批放上页面。防守方需要问自己的问题也变了——不是「我会不会被攻击」，而是「我和谁躺在同一个维度上」。

•︎ 匿名编号条目会在倒计时到期后转为实名，两者是同一批受害者——N0n 的 Company #21 兑现为 Hunter Neurology 是本周期最有价值的一次观测。这意味着实时监控泄露站点能拿到真实的预警提前量：从匿名条目出现到实名公开，间隔约 1 至 2 天，这段时间足以启动核实与应急。

•︎ 团伙梯队呈现「千级老牌 + 百级新锐」的双层结构——qilin、play、everest、incransom 这类累计数百至两千余起的团伙继续稳定出摊；Wallstreet（39 起）、HYFLOCK（8 起）、N0n（78 起）则处在快速上升期。当日撑起总量的恰恰是后者，而前者只是陪跑。评估威胁时按「名气」排序会严重失真。

•︎ 市政与执法机构开始被直接点名——COMAPA Victoria（市政水务）与厄瓜多尔国家警察总部同日出现。这类目标的共同短板是把面向公众的服务与内部办公网混在同一片网络里，且更新节奏受预算与采购周期制约。它们正在从「不会被盯上」变成「值得赌一把」。

•︎ 未标注与打码条目的比例依然很高——当日 9 起无国别标注、3 条客户名称被打码、1 条被源站整体脱敏。这部分「看不见的数据」会让所有基于公开站点的统计系统性偏低，任何把它当作完整总账的结论都需要打折。

九、防守方建议

建筑设计、工程顾问与项目型服务企业应立即把投标资料与客户合同库列为独立保护域。当日 11 起集中投放全部落在这类组织上，而这类企业通常把图纸、投标文件、客户合同与结算资料散落在共享盘与个人终端里。建议对项目资料库实施分级权限与全量访问审计，把「短期内大批量下载投标或合同文件」列为最高优先级告警，并对离职人员与外部协作方的账号做即时回收。当你的同行已经出现在泄露页面上时，排查自己的暴露面就是最紧急的事。

把凭据治理放在漏洞修补之前。HYFLOCK 的受害域名有 85.7% 存在历史凭据泄露，说明当日的多数事件入口是账号密码，而不是零日漏洞。建议对所有远程访问通道（VPN、RDP、堡垒机、SaaS 后台）强制多因素认证，清理长期未轮换的服务账号与离职账号，并接入企业域名与高管邮箱的凭据泄露监测。这一条直接对应当日最活跃的新团伙，是当前性价比最高的一道闸门。

市政、水务与执法机构需要把面向公众的服务与内部办公网做硬隔离。COMAPA Victoria 与厄瓜多尔国家警察总部同日上榜，说明公共部门已经成为常规目标。建议对供水调度、缴费查询、警情受理这类对外系统与内部办公网络做边界隔离与单向数据流控制，并把应急响应预案的决策人从技术负责人上提到行政负责人，避免在倒计时压力下由不具备技术判断力的人临时拍板。

把泄露站点的条目监控纳入日常，并对「匿名编号 + 倒计时」条目做专项追踪。N0n 的匿名条目在 1 至 2 天内转为实名，这是可用的预警窗口。建议对新兴团伙站点做定向监控，尤其关注以「Company #NN」「国家与行业标签」「PENDING EXPOSURE」格式发布、且尚未点名的条目，把预警时点从「事件曝光」提前到「条目挂出」。同时建立一份本行业的关联企业清单——当同一维度上的同行被点名时，立刻核查共享接口、共享外包商与共享运维通道的暴露面。

高合规约束行业（律所、会计、保险、医疗）应提前准备对外口径与通报流程。当日这四类合计超过十起，且泄露内容普遍涉及受托信息与个人隐私。建议提前明确三件事：数据真实性尚未核实前如何对外表述、如何在公开期限之前完成必要的监管通报、以及由谁在危机初期承担对外决策——把决策从「期限最后一天」提前到「条目公开之时」。

THE END