2026-10-24 13:09:06 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

勒索事件日报：2026年-10月-15日

原创

企业安全实践
企业安全实践

企业安全实践

2026年10月16日 09:33
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

10月15日全球勒索泄露站点新增45起、涉及13个团伙：Qilin以12起领跑并横跨八国，新团伙Iah6477单日释放7起占其累计近半，N0n匿名编号推进至#73，凭据驱动与TB级数据成常态。

一、勒索数据概述

2026年10月15日（UTC自然日），全球勒索泄露站点新增 45 起 受害者披露，来自 13 个 团伙，覆盖 16 个国家与地区。总量较前一日（22 起）翻倍还多，是近十个自然日的第三高位，仅次于 10 月 9 日的 82 起与 10 月 12 日的 75 起。

但这一天最值得注意的不是数量，而是结构换了。此前连续多日的曲线高低几乎由单一团伙的批量投放决定：10 月 12 日 N0n 一手挂出 38 条、占 50.7%，10 月 13 日 Wallstreet 11 条加 HYFLOCK 8 条，10 月 9 日 Thegentlemen 独占 43.9%。10 月 15 日的第一名 Qilin 只有 12 起、占 26.7%——45 起被 13 个团伙分摊，平均每家不到 3.5 起，没有任何一家形成压制。

另一处结构变化在时间轴。45 起里只有 2 条标注了早于披露日的攻击时间（美国某公立学区 9 月 14 日、阿联酋某高校 9 月 17 日），其余 43 条站方未能给出独立的攻击估算日。这与 10 月 9 日至 10 月 14 日连续出现的「跨季度存量清仓」明显不同，本日这批更像是当日产出的实时收割，而不是把旧账集中上架。

综合起来看：数量回涨、集中度走低、新旧团伙同台。风险形态从「盯住某一家的批量节奏」变成了「同时被十几个方向以不同节奏敲打」，这对防御侧的监测覆盖面提出了完全不同量级的要求。

二、被攻击单位分析（受害者清单）

以下 45 条按站点披露顺序排列。国别一栏已逐条回到条目原文核对：站点旗标会系统性漏标——当日美国旗标只标出 15 起，回原文核对后实际为 25 起，另有 2 起旗标与实体描述冲突（camden-living 旗标英国但实体为美国 Camden Property Trust；MPI LTDA 旗标巴西但描述明确写「Colombian asphalt company」）。

序号	受害者	团伙	国家/地区	行业
1	fairfeelegalservices.com	Incransom	美国	专业服务（法律服务）
2	verveiba.com \ www.att.com	Incransom	美国	专业服务（品牌营销）
3	www.coopecaja.fi.cr	Incransom	哥斯达黎加	金融服务（信用合作社）
4	nowaszkola.com	Incransom	波兰	教育（教具与校用设备）
5	Keio Corporation（京王）	Qilin	日本	交通运输（轨道交通与零售集团）
6	Kemlows Diecasting Products Limited	Qilin	英国	制造业（压铸）
7	Telcoe Federal Credit Union	Qilin	美国	金融服务（信用社）
8	TGM Manufacturing, Inc	Wallstreet	美国	制造业（机加工与汽车部件）
9	Segres Systec	Qilin	西班牙	技术（系统集成）
10	Shield Wall Systems of Florida	Qilin	美国	制造业（护栏系统）
11	The Excalibur Group	Qilin	美国	其他（无障碍与助行产品）
12	hilmar-cheese	Iah6477	美国	农业与食品（乳品，719.0 GiB）
13	Company #70	N0n	埃及	教育培训（计算机培训学院）
14	Company #73	N0n	美国（加州）	制造业（半导体）
15	torcivialaw.com	Lockbit5	美国	专业服务（律师事务所）
16	kidzrkooldental.com	Lockbit5	美国	医疗（儿童牙科）
17	lcww.com.eg	Lockbit5	埃及	零售（服装）
18	neweramachines.com	Lockbit5	美国	制造业（饼干与曲奇生产线）
19	grupoabg.com	Lockbit5	墨西哥	制造业（商业解决方案）
20	KD Corp	Qilin	韩国	制造业
21	Videk	Akira	英国	技术（印刷视觉检测，8 GB 待传）
22	Boyle, Pecharich, Cline, Whittington and Stallings	Akira	美国	专业服务（律师事务所）
23	bienestarempresarial	0x00	墨西哥	专业服务
24	middleby	Iah6477	美国	制造业（商用厨房设备）
25	sunshine-mills	Iah6477	美国	农业与食品（宠物食品）
26	Svd（Sun Valley Dairy）	Akira	美国	农业与食品（乳品运输零售）
27	Hocon Gas	Qilin	尼日利亚	能源与公用事业
28	HyperGen	Qilin	美国	技术
29	Chattanooga Shooting Supplies	Qilin	美国	零售（射击用品）
30	Commune Du Tampon	Qilin	法国（留尼汪）	政府（市镇行政）
31	Brame Telecom	Qilin	巴西	技术（电信）
32	hensley	Iah6477	美国	制造业
33	Enchanted Fine Jewellery	Vexy Ransomware	印度	零售（珠宝，34.88 GB）
34	buckle	Iah6477	美国	零售（服饰）
35	camden-living	Iah6477	英国（旗标）/美国（实体）	房地产（公寓 REIT）
36	Son\* Public Schools	Nightspire	美国	教育（公立学区，站方已打码）
37	MPI LTDA	Emperador	巴西（旗标）/哥伦比亚（描述）	制造业（沥青）
38	Amity University Dubai	Blacknevas	阿联酋	高等教育
39	Alma Center Servizi Medicali S.r.l.	Spacebears	意大利	医疗
40	Holistic Health Group, Inc.（d/b/a Suncrafted）	Spacebears	美国	医疗
41	Company #69	N0n	美国（加州）	技术（软件与募捐服务）
42	alera	Iah6477	美国	金融与保险（2.6 TiB）
43	Company #68	N0n	美国	制造业
44	Company #67	N0n	荷兰	金融服务（外汇流动性与交易技术）
45	Company #66	N0n	美国（加州）	技术（软件质量保障）

本期 45 条中未见中国内地及港澳台主体。

把清单按体量排一遍，会发现攻击方已经不在乎目标大小了。一端是日本京王、美国 Middleby、Buckle、Camden Property Trust 这类上市或大型实体，另一端是佛罗里达一家儿童牙科、田纳西一家射击用品店、俄勒冈一家 19 人的乳品运输商。同一天、同一批团伙、同一套流程，通吃。

三、行业维度分析

按条目原文与域名还原行业，制造业 11 起、占 24.4%，位居第一，分布在压铸、机加工、食品机械、半导体、沥青、商业设备六个子方向，没有任何一条重复指向同一细分。这个分布说明攻击方不是在打一个行业，而是在打「手上有图纸、订单流与产线排期」的那一类组织——因为只有这类组织才真正拖不起停机。

技术 6 起（13.3%）与专业服务 5 起（11.1%）紧随其后。技术侧集中在系统集成与软件（Segres Systec、HyperGen、Brame Telecom、以及 Company #66 所指向的软件质量保障环境），专业服务侧则是清一色的律师事务所与咨询——当日仅律所就有 3 家。律所的不可替代性在于：案件材料与信托账户有时效压力，客户保密义务又把公开泄露的代价放大了好几倍。

金融 4 起、教育 4 起、零售 4 起、医疗 3 起，四个敏感行业合计 15 起、正好占三分之一。金融侧包含两家信用合作社（美国 Telcoe、哥斯达黎加 Coopecaja）与一家荷兰外汇流动性技术商；教育侧从波兰教具厂商 Nowa Szkola，到阿联酋 Amity University Dubai，再到美国某公立学区与埃及一家计算机培训学院，跨度从学前教具一直到高等教育全覆盖。

值得单独拎出来的是教育行业的取数清单。Amity University Dubai 的挂牌文案逐条列出了学生与教职工的护照号与身份证号、银行账户与银行卡信息、学费缴纳与助学贷款记录、未发表研究论文与合作方保密数据。这不是一次顺手的拖库，而是一份按「可二次变现程度」排过序的清单——攻击方很清楚自己手上的货要卖给谁。

四、区域维度分析

北美 28 起、占 62.2%，其中美国 25 起、墨西哥 2 起、哥斯达黎加 1 起。美国一地就占 55.6%，是本日唯一形成规模的市场。但必须强调口径：如果直接取站点旗标，美国只有 15 起、占比会被压到 33.3%，「北美独大」这个结论会被直接推翻。旗标缺失是常态，回原文核对不是可选项。

欧洲 7 起（含 1 起旗标冲突）、占 15.6%：英国 2 起（压铸厂 Kemlows、印刷视觉检测商 Videk）、西班牙 1 起、波兰 1 起、意大利 1 起、荷兰 1 起，另有 camden-living 旗标为英国。欧洲当日没有出现任何批量投放，全部是单点命中，与 10 月 13 日 Wallstreet 在瑞典一次性挂出 10 条建筑事务所形成鲜明反差。

亚洲 4 起、中东与非洲 5 起、拉美 3 起（含旗标冲突 1 起）、法国海外省 1 起。亚洲四起分别是日本京王、韩国 KD Corp、印度 Enchanted Fine Jewellery、阿联酋 Amity University Dubai——四个国家、四个行业、四个团伙，彼此毫无关联。这条分散度本身就是信号：亚洲不再是某个团伙的专属猎场，而是所有人都顺路扫一遍的公共区域。

非洲 3 起尤其值得盯住：埃及 2 起（LC Waikiki 埃及站、N0n 挂出的埃及计算机培训学院）加尼日利亚 Hocon Gas。近十日非洲在榜上的出现频率明显上升，而该区域本地的安全投入与事件响应能力普遍薄弱，属于典型的低阻力目标区——攻击方的迁移方向，跟的是防护预算的梯度，不是地理位置。

五、攻击团伙分析（团伙分布）

团伙	起数	占比	当日状态与打法
Qilin	12	26.7%	横跨八个国家地区的散点投放，无行业重复
Iah6477（Cinder）	7	15.6%	新团伙首次日爆，占其累计 15 起的 46.7%
N0n	6	13.3%	全部匿名 Company #NN，编号推进至 #73
Lockbit5	5	11.1%	全部以域名挂牌，一条命中 FortiBleed 旧凭据
Incransom	4	8.9%	美、哥斯达黎加、波兰，法律与教育为主
Akira	3	6.7%	英美技术与法律与乳品，文案写明取数清单
Spacebears	2	4.4%	意大利与美国医疗，纯数据窃取
Wallstreet	1	2.2%	美国机加工单点，与 10 月 13 日瑞典 11 条反差明显
0x00	1	2.2%	新团伙首现，墨西哥专业服务，暴露 179 条口令
Nightspire	1	2.2%	美国公立学区，攻击时间 9 月 14 日
Emperador	1	2.2%	拉美沥青制造，370 MB，含人员与客户档案
Blacknevas	1	2.2%	阿联酋高校，攻击时间 9 月 17 日
Vexy Ransomware	1	2.2%	新面孔，印度珠宝零售，34.88 GB
合计	45	100%	—

Qilin 以 12 起、26.7% 领跑，但它的打法与前几日的领跑者完全不同。10 月 13 日 Wallstreet 的 11 起是「同一个国家、同一个行业」的象限切割；Qilin 这 12 起横跨日本、韩国、英国、西班牙、巴西、尼日利亚、法国留尼汪、美国八个国家地区，行业从轨道交通、压铸、电信、能源一路到市政府，没有任何两条属于同一细分。这是典型的广撒网式扫描——靠的是自动化暴露面发现，而不是对某个行业的渗透积累。

真正的新变量是 Iah6477（对外自称 Cinder）。这个团伙 8 月 20 日才出现，累计仅 15 起，其中 7 起集中在 10 月 15 日一天释放，占其历史总量的 46.7%。目标清一色是美国中大型实体：Middleby（商用厨房设备）、Buckle（服饰零售）、Hilmar Cheese（乳品）、Sunshine Mills（宠物食品）、Camden Property Trust（公寓 REIT）、Alera（保险经纪）。站点标注其受害者 100% 存在窃密器命中，累计已公开 15.6 TB 数据，单案最大 alera 2.6 TiB、hilmar-cheese 719.0 GiB。一个两个月大的团伙能在一天里交出这个体量，说明它手上的凭据库早就攒好了，现在只是在集中收割。

N0n 的匿名流水线还在往前推。当日 6 起全部是「Company #NN + 行业标签 + PENDING EXPOSURE 倒计时」，编号已推进到 #66、#67、#68、#69、#70、#73，累计受害者 86 起。行业标签分别是：软件质量保障（描述里直接提到 Wolters Kluwer / CCH Axcess 测试环境）、外汇流动性与交易技术、制造、软件与募捐服务、埃及计算机培训、加州半导体制造。按 10 月 13 日已验证过的规律，匿名条目在倒计时到期后 1 至 2 天会转为实名——这 6 条是未来 48 小时最值得盯的实名化候选。

Lockbit5 的 5 起全部以域名挂牌，其中墨西哥 grupoabg.com 被站点明确标注命中 FortiBleed（CVE-2022-40684）泄露的 FortiOS SSL-VPN 凭据。一个 2022 年的老漏洞，其暴露的凭据到今天仍被当作入场券使用——这比任何新漏洞都更能说明凭据治理的欠账有多大。

六、攻击手法分析

入口侧：凭据压倒性领先，漏洞只是补充。当日可以取到画像的三个主力团伙，窃密器命中率分别是 Iah6477 100%、N0n 66.7%、Lockbit5 36.6%。站点还在多个条目上直接给出了失陷账号数：Telcoe 8 个失陷用户、nowaszkola 9 个、bienestarempresarial 3 个用户加 3 个第三方员工凭据、grupoabg 1 名员工。唯一的漏洞型线索是 grupoabg.com 的 FortiBleed 凭据暴露，而它最终也是以「凭据」而非「漏洞利用」的形式被使用的。

横向与提权：远程服务与脚本解释器是主力。N0n 的完整 TTP 矩阵给出 Valid Accounts（初始访问与持久化）、命令与脚本解释器、混淆文件、RDP 横向移动、数据暂存、加密致瘫、停用或修改安全工具、停止服务、抑制系统恢复。Incransom 的工具链则更具象：AnyDesk、PsExec、Mimikatz、AdFind、Advanced IP Scanner、SoftPerfect NetScan、Finger——一套标准的「远程控制＋域内侦察＋凭据抓取」组合。

外传与影响：打包工具与云存储是固定搭档。Incransom 的外传工具矩阵里并列着 7-Zip、WinRAR、RClone、Restic、MEGA、BackBlaze、s5cmd，站点还给出了两条可直接落地的检测规则：AdFind 与 Advanced IP Scanner 的域内侦察（T1482）、Restic 与 s5cmd 的云外传（T1567.002）。Lockbit5 侧则有一条针对虚拟化环境的规则：ESXi 虚拟机先关机、再加密 VMDK（T1486）——这条对跑私有云的数据中心是直接威胁。

取数目标高度一致：人事、财务、客户合同、身份文件。Videk 的文案写明「员工信息、客户信息、合同、财务、NDA，共 8 GB」；Sun Valley Dairy 写明「护照扫描件、W-9 表、客户信息、合同与协议、内部财务」；Amity University Dubai 写明「护照号、身份证号、银行账户与银行卡、学费与贷款记录、未发表研究」。这三份清单合起来就是攻击方的标准交付物模板：能用于身份欺诈的、能用于精准钓鱼的、能用于二次敲诈的，一样不落。

七、攻击动机分析

•︎ 纯经济驱动，无政治或意识形态诉求。45 条挂牌文案全部是「数据已获取＋限期联系＋逾期公开」的同构模板，没有任何一条附带政治声明、社会诉求或意识形态表达。

•︎ 目标选择服从「付得起、拖不起」两条标准。金融 4 起（两家信用社、一家外汇交易技术、一家保险经纪）、医疗 3 起、教育 4 起——这三类主体的共同点是停机成本高、合规压力大、且手上有明确的赔付能力。攻击方要的不是最大赎金，而是最高支付概率。

•︎ 数据挑选按「二次变现能力」排序。Amity University Dubai 列出的护照号、银行卡号、学费与贷款明细，Sun Valley Dairy 列出的护照扫描件与 W-9 表，都不是业务系统里最有价值的数据，而是黑市上最容易变现的数据。攻击方清楚知道自己的买家是谁。

•︎ 数据量本身被当作议价筹码。alera 2.6 TiB、hilmar-cheese 719.0 GiB、Enchanted Fine Jewellery 34.88 GB、MPI LTDA 370 MB——数值直接写进挂牌文案，目的不是告知，是压迫。

•︎ 公共属性目标被刻意用来加码舆论压力。法国留尼汪的 Commune Du Tampon 市镇政府、日本京王这类公共或准公共主体上榜，赌的是行政中断与舆情扩散会绕过技术团队的理性判断，直接推高决策层的支付意愿。

八、攻击趋势分析

•︎ 头部集中度继续走低，多团伙并行成为常态。当日第一名 Qilin 占 26.7%，而 10 月 9 日是 43.9%、10 月 12 日是 50.7%。45 起分散在 13 个团伙手里，靠跟踪单一团伙来预判风险的防御模型正在失效。

•︎ 新团伙高密度冒头，且一上来就有大体量产出。Iah6477/Cinder（8 月 20 日首现）、0x00、Vexy Ransomware、Blacknevas 均在当日出现或首次放量；站点统计近十日已新增 4 个团伙。Iah6477 一天就交出占自身历史 46.7% 的产出，说明新团伙不再需要漫长爬坡——他们进场时手里已经带着现成的凭据库。

•︎ 匿名编号流水线化，预警窗口可被利用。N0n 编号已推进至 #73、累计 86 起，当日 6 条全部为「Company #NN＋行业标签＋倒计时」。按 10 月 13 日验证的规律，匿名条目在 1 至 2 天内会转为实名，监控到匿名条目就意味着拿到了提前量。

•︎ 公开数据量向 TB 级移动。Iah6477 一家累计已公开 15.6 TB，当日单案最大 2.6 TiB。当数据量本身成为议价筹码，泄露的边际成本更低、后果却更不可逆。

•︎ 凭据驱动彻底坐实。当日无任何一条以新漏洞作为主要入口，主力团伙的窃密器命中率高达 66.7% 至 100%，唯一的老漏洞线索（FortiBleed）最终也是以凭据形式被使用。攻击方的投入重点已经完全从「找洞」转向「买号、捡号、用号」。

•︎ 目标体量两端同时扩张。一端是京王、Middleby、Buckle、Camden Property Trust 这类大型实体，另一端是 19 人的乳品运输商、单家儿童牙科诊所。攻击方不再做体量筛选，只做「能否进来」的筛选。

把这六条合起来看，勒索生态正在同时完成两件事：投放方碎片化，变现方式数据化。前者让风险越来越难预测，后者让后果越来越难挽回。防御侧的资源如果仍然集中在「防住某一次攻击」，就会同时错过这两条线——真正的重心必须移到「即使被攻破，也没有值钱的东西可以拿走」。

九、防守方建议

凭据治理的优先级必须排在补丁管理之前。当日三个主力团伙的窃密器命中率为 100%、66.7%、36.6%，唯一的老漏洞线索最终也以凭据形式被利用。建议对所有远程接入通道（SSL-VPN、RDP、堡垒机、SaaS 后台、邮箱）强制多因素认证，接入企业域名的凭据泄露监测，清理长期未轮换的服务账号与离职账号残留。在当前的入口结构下，这是唯一能同时挡住十几个团伙的一道闸门。

立即做历史泄露凭据的全局排查与吊销，重点是 SSL-VPN 与远程接入。grupoabg.com 命中的 FortiBleed（CVE-2022-40684）是 2022 年的老问题，它证明了一件事：四年前泄露过一次的凭据，只要没吊销，今天仍然有效。建议按历史泄露事件清单做一次全量凭据轮换，并把 FortiOS SSL-VPN 的凭据与配置一并纳入强制变更范围。

把域名与 DNS 侧的暴露面当作资产来管理。当日多个条目暴露了大量口令与会话凭据：Segres Systec 41 条口令（含 1 条高危）、Hocon Gas 182 条（含 2 条高危）与 40 个 Cookie、bienestarempresarial 179 条（含 5 条高危）、Telcoe 139 条、nowaszkola 154 条与 16 个 Cookie。这些数字不是「可能有问题」，而是攻击方已经看到的清单。建议对自有域名做常态化凭据泄露监控，并对命中项执行强制重置。

教育、医疗、金融要按「人事＋财务＋客户」三件套做分级防护。当日这三类合计 11 起，取数清单高度一致。建议对身份文件（护照与身份证扫描件）、薪酬与税务表单、银行账户信息单独做分类分级与最小权限控制，对归档库的批量导出设置限速与实时告警，并对高管、财务、人事账号单独开启会话劫持检测。

中小企业优先补齐四项基础能力：可验证的离线备份、远程访问多因素、终端检测与响应、暴露面收敛。当日绝大多数上榜主体落在百人以下这一档，攻击方已经替防守方排好了优先级，不需要再做一次风险评估来论证。同时要定期演练恢复流程，确保备份本身不会在入侵中被一并加密或删除。

跑虚拟化与私有云的数据中心要专门防 ESXi 场景。站点已给出 Lockbit5 的检测规则：先关闭虚拟机、再加密 VMDK（T1486）。建议对虚拟化管理网段做独立隔离与严格访问控制，对 vCenter 与 ESXi 主机启用多因素与命令审计，并对异常关机序列建立告警。

建立匿名条目的监控与自查机制。N0n 当日 6 条匿名条目分别指向加州半导体、加州软件与募捐服务、加州软件质量保障（描述提及 Wolters Kluwer / CCH Axcess 测试环境）、荷兰外汇交易技术、埃及计算机培训、美国制造。如果你的组织特征与其中任何一条吻合，现在就该自查——等到实名挂出来，倒计时已经开始。