勒索事件日报：2026年-10月-28日

原创

企业安全实践
企业安全实践

企业安全实践

2026年10月29日 18:08
福建

去阅读

导读

10月28日公开勒索事件23起、13个团伙。SilentRansomGroup点名Am Law百强律所Morrison Foerster，Whitearmor同日拿下Ryder与Echo两家物流。

一、勒索数据概述

2026年10月28日（周三，UTC 自然日），全球勒索软件泄露站新增受害者条目23起，涉及13个攻击团伙、10个国家与地区，另有5条未标注国别。把近十日摆在一起看：10月19日31起、20日25起、21日40起、22日30起、23日42起、24日33起、25日21起、26日36起、27日43起，28日的23起只有前一日的一半，是近十日第三低值。

这个数字需要先加一个注脚：当日统计不是终值。 10月27日在本系列发稿时的统计是18起，24小时后该站已把它修正为43起——补进来的25条主要来自 Booba Project（10条）、everest（8条）与 play（7条）。泄露站数据在披露后一整天里仍在持续回填，任何基于单日绝对值的判断都应等24小时再下结论。

比总量更有信息量的是结构：第一名 SilentRansomGroup 只占4起（17.4%），13个团伙里有7个只出了1起。对照10月26日 Qilin 一家吞下17起（47.2%）、10月27日 Booba Project 10起，当日的头部集中度处在近期最低区间。没有人在批量投放，23起是25个不同方向各自命中一次的结果。

时间结构依旧是即攻即挂：23起中20起（87.0%）的攻击预估日与披露日相同，仅3起存在间隔——Cyrious Software（10月26日入侵，隔2天）、A&B Lab 与 Ryder（均为10月27日入侵，隔1天）。潜伏期最长只有2天，事前窗口基本不存在。

二、被攻击单位分析（受害者清单）

以下为当日全部23条公开条目，按泄露站上架顺序排列。国别一栏已回到条目原文，并结合官网域名、联系电话区号、注册地与描述自述逐条核实，括号中标注了与站点旗标不一致之处。

三点需要单独说明。第一，Echo.com 被标为德国，实际是美国芝加哥的 Echo Global Logistics——条目描述里写得很清楚，是技术驱动的第三方物流商，国别旗标错误，应计入美国。第二，wagyu.xyz 是二次挂牌：该目标前一天已经上过一次榜，当日以“wagyu.xyz unfairness”为题再挂一次并附上操纵证据，实际新增为22家。第三，SilentRansomGroup 名下3条为打码条目（T... E...、S... H...、L...），统一标注“Redacted entry - FULL DATA TIMER active”，不计入行业与区域统计。

当日没有中国内地及中国港澳台主体上榜。

三、行业维度分析

按逐条核实口径，当日行业分布为：制造业4起（德国 Hauhinco 高压水液压、法国 Marbre Design 石材加工、爱尔兰 Trulife 医疗器械、德国 Meleghy 汽车零部件）、专业服务与法律4起（Morrison Foerster、PQE Group、Noelker and Hull 建筑事务所、Roberts Consulting 工程咨询）、医疗与健康科学2起（A&B Lab 实验室服务、Broadstreet HEOR 健康经济研究）、科技与电信2起（Cyrious Software、马来西亚匿名电信条目）、交通运输与物流2起（Echo Global Logistics、Ryder）、建筑与基础设施1起（Femern Link Contractors）、零售与消费1起（EWM Group）、金融服务1起（CHAT Insurance）、农业食品1起（Fortrex）、教育1起（Anglican International School）、加密货币1起（wagyu.xyz），另有打码未披露3起。

站点自身的行业面板给出的是“专业服务5、制造4、其他3”，与核实口径大体接近但仍有偏差——它只统计带描述文本且未打码的条目，打码的3条被整个排除在外。这类公开指标可以作为粗口径参考，做细颗粒度分析时必须自己回到原文。

当日最值得记的一笔是：交通运输与物流被同一个团伙在一天之内连打两家。 Whitearmor 同时挂出 Echo Global Logistics（芝加哥第三方物流）与 Ryder（财富500强，车队管理与供应链）。这是当日唯一出现“同团伙同行业双杀”的赛道。物流业的数据敏感度并不高，但调度、配载、运单与车队系统一停，货主、司机、仓库、末端配送全部断链，损失按小时计价。目标选择的逻辑正在从“谁的数据多”转向“谁停不起”。

第二个信号是专业服务再次站上第一梯队，且形态变了。4起里只有1起是传统律所，另外3起是“设计、评估、合规”类智力服务——建筑设计事务所（医疗与养老设施）、健康经济与结果研究咨询、生命科学合规咨询。这类机构的共同点是：数据是客户的，风险是自己的。它们自身停业损失有限，但手里的图纸、评估模型与合规底稿一旦外流，触发的是客户的监管责任与职业责任索赔。对照10月22日专业服务首次以30%登顶、10月26日6起，这条赛道已经从偶发变成常驻。

第三个信号是医疗相关条目继续绕开医院。3条医疗相关（含 Trulife 的医疗器械制造）里没有一家是医疗机构：一家实验室服务商、一家健康经济研究咨询、一家假肢与矫形器械厂商。攻击者清楚医院的防护水位已经被监管抬高了，改打医院周边那条更软的供应链。

四、区域维度分析

站点旗标口径当天只给出“美国6、德国3、丹麦1”三项，23条里有5条完全没有旗标。回条目原文逐条核实后，区域分布为：北美9起（美国7、加拿大2，39.1%）、欧洲7起（德国2，英国、意大利、爱尔兰、法国、丹麦各1，30.4%）、亚太1起（马来西亚）、中东1起（以色列）、未标注5起。

旗标噪声当天有7条，比例达30.4%，且方向各异：Echo.com 标德国实为美国芝加哥；CHAT Insurance 无旗标实为加拿大安大略省万锦市（10家门店、120余名持牌经纪、2万余保户）；Trulife 无旗标实为爱尔兰都柏林（1958年创立，四国生产、销往90多个国家）；PQE Group 无旗标实为意大利佛罗伦萨；Marbre Design 无旗标实为法国；Broadstreet HEOR 无旗标实为加拿大温哥华；另有一条自相矛盾——The Anglican International School 旗标以色列，描述里却写着“Country: Grenada.Spain”，而域名 aisj.co.il 指向以色列，属站点自身数据打架。若只取旗标，会漏掉加拿大2起与意大利、爱尔兰、法国、英国各1起，并凭空多算德国1起，北美占比也会从39.1%被低估到26.1%。

校正后最值得注意的是欧洲：7起分散在6个不同国家、由6个不同团伙实施，行业零关联——德国液压泵、法国石材、爱尔兰医疗器械、德国汽车零部件、英国服装零售、丹麦隧道工程。这不像有人在打欧洲，更像是扫描器的暴露面命中恰好落在欧洲。用地理预判目标这一套已经完全失效，目标池是按暴露面组织的，不是按地图组织的。

北美9起里有5起集中在两个方向：专业服务（律所、工程咨询）与交通运输（物流、车队）。亚太仅马来西亚1起，中东仅以色列1起，两个区域各自只贡献一条，均由单一团伙完成。

五、攻击团伙分析（团伙分布）

SilentRansomGroup 正在按名单打美国顶级律所。 10月19日 Latham & Watkins、10月22日 Kirkland & Ellis、10月28日 Morrison Foerster——9天之内3家 Am Law 100。MoFo 排在第42位，1021名律师，全球营收约15亿美元，客户名单上有 Apple、Nvidia、SoftBank 与阿里巴巴。该团伙前身为 Conti / Chatty Spider / UNC3753 / Luna Moth，战术中含语音钓鱼与远程控制工具。它当日4起里3起打码，唯独把 MoFo 实名挂出——打码是给谈判留窗口，实名本身就是升级手段。对律所而言，客户尽调材料、交易底稿与未公开诉讼策略一旦见光，后果由客户承担、责任由自己承担，赔付意愿因此远高于普通企业。

Whitearmor 是本轮最值得盯的新变量。 10月21日首现，本月首次进入月度新团伙名单。它的履历很特别：先打中国家电巨头（开价50万美元）、巴西自由党（500万美元）、Whirlpool 与 J.B. Hunt，再打加密博彩站 wagyu.xyz，而当天转向了物流主干道——Echo Global Logistics 与 Ryder。从博彩这类现金流转快的行业，跳到停机成本按小时计的物流，说明它在按“支付意愿”而不是按“数据价值”挑目标。它此前对 J.B. Hunt 二次挂牌并公开嘲讽谈判破裂，对 wagyu.xyz 同样二次挂牌并附操纵证据，拖延谈判在它这里等于主动升级。

Akira 的三条是标准流水线产物。 三家目标（Trulife、Roberts Consulting、CHAT Insurance）的描述全部是一句话企业介绍，没有数据量、没有赎金、没有倒计时、没有证据清单。Akira 本月累计32起，排在月度第4；历史初始访问主要靠 Cisco VPN 单因素暴力破解，以及 FortiOS（CVE-2022-40684）、SonicWall（CVE-2024-40766）、Veeam（CVE-2024-40711）、ESXi（CVE-2024-37085）等已知漏洞。这类条目可以按暴露面告警处理，不必按定向入侵处置。

Barracuda 拿下费马恩海峡隧道联合体，是当日曝光度最高的一击。 该团伙2026年8月才首次出现，此前8起覆盖美国中小医疗、韩国与中国的制造企业、巴西律所、阿根廷工程公司，主要靠边缘设备漏洞与采购来的初始接入。需要特别提示：它与安全厂商 Barracuda Networks 只是同名，这是地下常用的归因混淆手法，检索情报时不要把两者混为一谈。

N0n 当日只出1起，但它是本月全月第一——累计152起、占全月15.8%。编号条目推进至#112，马来西亚电信，仍标 PENDING EXPOSURE。单日1起与月度152起之间的落差，正好印证了头部团伙“攒一批、集中释放”的挂牌节奏：用单日数据判断团伙活跃度毫无意义。

六、攻击手法分析

情报密度继续走低，这已经是连续第三天“零CVE、零数据量、零赎金”。 当日23起里，没有任何一条披露失窃数据体量、赎金金额或初始访问漏洞编号；唯一给出实质内容的只有两条——Aurora 打德国 Meleghy 时点名了“护照、签证、学生入学申请卷宗”，Whitearmor 二次挂牌 wagyu.xyz 时列出了操纵抛硬币的证据描述。其余21条全部是模板化文案。

模板化已经成为主流。 SilentRansomGroup 的三条打码条目用完全相同的句式：“Redacted entry - full company name pending disclosure (FULL DATA TIMER active)”；Aurora 用“[fashion]”“[automotive]”行业标签打头，后接失窃材料清单；Akira 用企业官网介绍句式。描述前半段是生成的，只有“标签之后的证据清单”与“倒计时时间”有情报价值，读条目时要跳过前半段。

二次挂牌与公开羞辱是一套固定打法。 Whitearmor 对 wagyu.xyz 前一天已挂过一次，当日以“wagyu.xyz unfairness”为题再挂，并写明“两个被证据证明的操纵系统：其一是操纵抛硬币”。这与它对 J.B. Hunt 的二次挂牌公开嘲讽如出一辙：首轮倒计时不付，就把筹码从“公开数据”升级为“公开你的丑事”。对这类团伙，沉默不是拖延，是加价。

匿名化回落到17.4%。 SilentRansomGroup 3条打码加 N0n 1条编号，共4起不以真名出现；N0n 的 Company #112 仍标 PENDING EXPOSURE，属于“挂出来但还没定价”的阶段。对照10月22日匿名占比30%、10月20日28%，当日实名挂牌占了绝大多数，说明攻击者的主流姿态是不留谈判余地。

当日没有一条给出入侵路径，只能由团伙历史画像反推，且仅供参考： SilentRansomGroup 惯用语音钓鱼、有效账号与 AnyDesk/Bomgar/Zoho Assist 类远程工具，配合 Rclone/WinSCP 外传；Akira 与 Barracuda 依赖边缘设备漏洞与采购来的初始接入；Payload 是 Babuk 衍生、Windows 与 ESXi 双平台；Whitearmor 此前条目曾命中 FortiBleed（CVE-2022-40684）。这些都不是当日证据，必须用自己的日志验证。

七、攻击动机分析

•︎ SilentRansomGroup：押注的是职业责任，不是停机损失。 律所停业一天损失有限，但客户尽调材料、交易底稿、未公开诉讼策略与内部邮件一旦外流，触发的是保密义务违约、职业责任索赔与监管问询。它拿到的不是自己的数据，是客户的数据；风险却全在自己身上。这类目标的决策链极短，赔付意愿显著高于同等规模的普通企业。

•︎ Whitearmor：按“停不起”定价。 物流与车队管理系统的损失按小时计，一旦调度中断，货主、司机、仓库、末端配送同时断链。它同日拿下 Echo 与 Ryder 两家，说明它已经把物流当成一条可以横向复制的赛道，而不是偶然命中。加上它此前对 J.B. Hunt、wagyu.xyz 的二次挂牌羞辱，它的谈判风格是“你不回我就升级”，不是“你不回我就公开”。

•︎ Akira：纯概率游戏。 三条零叙事、零证据、零倒计时，靠数量碰运气，赌其中一两家会因为监管通报压力或保险条款而付款。这类团伙不挑目标，只挑暴露面，威胁等级应按扫描命中评估。

•︎ Barracuda：新团伙造势。 一个2026年8月才出现、累计不足10起的团伙，选择费马恩海峡隧道联合体这种欧洲标志性基建项目下手，要的是曝光度而不是数据价值——挂牌本身的传播效果远大于赎金预期。这也是新团伙冷启动的常见路径。

•︎ 打码与编号条目：还没定价。 SilentRansomGroup 的三条打码与 N0n 的 Company #112 都处于“挂出来、留窗口”的阶段。打码意味着攻击者自己也在评估这个目标值多少钱，此时是防守方争取主动的窗口期。

八、攻击趋势分析

•︎ 单日数字是快照，不是终值。 10月27日发稿时统计18起，24小时后被修正为43起，补进来的25条来自 Booba Project、everest 与 play。泄露站数据在披露后一整天里持续回填，基于单日绝对值的“涨了/跌了”判断基本无效，看7日移动平均才有意义。

•︎ 顶级律所已经从偶发目标变成常驻赛道。 9天内3家 Am Law 100 被3个不同团伙点名（SilentRansomGroup 两次、Global Secret Group、Redact 各一次），跨团伙共识已经形成。这条赛道的共同特征是数据归属与责任归属分离——数据属于客户，责任属于自己。

•︎ 目标选择正在从“谁的数据多”转向“谁停不起”。 当日物流2起、食品加工清洁消毒外包1起、超级基建联合体1起，合计4起占17.4%。关键运营节点的防护水位将成为下一阶段的决定性变量，而这类节点通常不在传统的数据资产清单里。

•︎ 合规与安全服务商自己成了目标。 PQE Group 是做数据完整性与合规咨询的，自己持 ISO/IEC 27001；Morrison Foerster 在隐私与数据安全领域是 Chambers Band 1 强所。“谁手里握着别人的合规材料”正在成为一种新的目标筛选逻辑——这类机构一旦失守，波及的是它服务的所有客户。

•︎ 公开情报在系统性稀释。 连续三日无CVE、无数据量、无赎金，描述大量是模板化企业介绍。防守方能从泄露站拿到的有效情报正在减少，自建日志、暴露面收敛与主动威胁狩猎的相对价值在上升。指望靠监控挂牌来做态势感知，这条路正在变窄。

九、防守方建议

•︎ 律所与专业服务机构：把客户保密义务写进事件响应预案第一页。 客户材料按项目隔离并最小权限化，谈判底稿、和解协议与诉讼策略单独存放于加密域；在预案中明确48小时内的客户通报路径、职业责任险触发条件与对外沟通口径。这类机构的处置难点从来不是技术，是责任划分的速度。

•︎ 物流与运输：做一次“调度中断72小时”的桌面推演。 调度与 TMS 系统必须和承运商门户、司机端应用分段；司机账号与承运商账号强制启用抗钓鱼 MFA（FIDO2 优先）并绑定设备与会话；预先准备好货主与司机侧的通知模板，真正出事时最耗时的不是恢复系统，是对外沟通。

•︎ 关键运营节点要按“甲方网络”切分信任边界。 Fortrex 这类外包商同时服务250余座工厂，Femern Link Contractors 这类联合体牵涉多国多方——凭据必须按厂区、按项目隔离，严禁跨厂区通用管理员账号，并把“客户连带暴露”写进事件响应预案。你自己的停机损失可能不大，但你下游的停机损失会直接变成索赔。

•︎ 制造业与医疗器械：备份做到3-2-1外加一份离线副本，ESXi 单独加固。 Akira 与 Payload 都支持 ESXi 平台锁定，虚拟化层不能和办公网同域。人事档案里的护照、签证、入学申请材料要单独存放并加密——Aurora 已连续多日把这类材料列入清单，说明它已经形成固定的取数偏好。

•︎ 边缘设备补丁按7日周期管理。 把 CISA KEV 中标注被勒索软件实际利用的项（Check Point、ScreenConnect、FortiOS、SonicWall、Veeam、ESXi）列为必修，不要等常规补丁窗口。当日虽无一条披露入侵路径，但头部团伙的历史画像高度一致地指向边缘接入设备。

•︎ 把“证书与私钥吊销”纳入事件响应标准清单。 延续10月22日德国 DR.SCHNELL 案中 TLS 私钥被列入失窃清单的教训：改口令与重置会话已经不够，私钥、证书与服务主体凭据必须能在一小时内吊销并重签。做不到这一点的组织，等于在事件处置后还给攻击者留了一道后门。

•︎ 公开挂牌当线索用，不要当证据用。 当日绝大多数描述是模板化企业介绍，只有“证据清单”与“倒计时时间”有情报价值；引用公开统计前先剔除测试占位条目、再校正国别旗标，否则区域结论会整个反向。用它的内容定位方向，用自己的日志验证事实，这个顺序不能倒。