2026-11-01 17:46:29 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

勒索事件日报：2026年-10月-31日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月1日 14:00
福建

去阅读

导读

2026年10月31日（UTC）新增84起、16个团伙，创单日新高。thegentlemen 一家挂出50起占59.5%，SAP、FPT Software、Holcim 在列，中国台湾2起。

一、勒索数据概述

2026年10月31日（周六，UTC 自然日），全球勒索软件泄露站新增受害者条目84起，涉及16个攻击团伙。这是本系列自开始监测以来的单日最高值——此前的最高纪录是10月9日的82起，10月下旬多数日子落在21至43起区间，当日84起相当于10月30日（42起）的两倍整。

但比总量更值得注意的是结构：84起里有50起来自 Thegentlemen 一家，占比59.5%。这是本系列观测到的单日单团伙最高纪录，超过同一团伙在10月9日创下的36起（43.9%）。换句话说，当日的新增不是生态整体活跃度翻倍，而是一个团伙把积累了五天的收获一次性倾泻出来。

两个必须交代的口径问题。第一，数字是快照不是终值，且会实时回填：10月27日在本系列发稿时统计为18起，24小时后该站已修正为43起；10月29日的统计更是在同一次抓取的一小时内从21起增长到30起。本文数据截止时间为2026年11月1日00:00 UTC，两次独立抓取（不同 query 参数）交叉验证，面板计数与逐条枚举均为84起。任何基于单日绝对值的涨跌判断都应再等24小时复核。第二，站点国别旗标仍然不能用：当日84条里至少11条旗标与实际属地不符、4条完全无旗标，本文全部回到条目原文、官网域名与描述自述逐条核实。

时间结构上，Thegentlemen 的50起攻击预估日集中在10月26日至10月30日，10月31日集中释放，潜伏1至5天；当日最长潜伏来自 Settra——nelsenarchitects.com 的攻击日是9月28日，潜伏33天。另有5条为打码条目（Nightspire 1条、Auditteam 4条域名打码），匿名化率6.0%，较前几日大幅下降，原因正是 Thegentlemen 的50起全部实名。

二、被攻击单位分析（受害者清单）

当日84家被公开点名的主体如下，国别已按条目原文、官网域名与描述自述逐条校正。

受害者	团伙	国家地区	行业与要点
System Soft	Vexy Ransomware	保加利亚	科技与软件（systemsoft.info，无描述）
JHAMF Group	Vexy Ransomware	哥伦比亚（站点误标孟加拉国，描述自述 Colombian）	科技与电信（IT 基础设施与电信服务）
Punta Shopping	Emperador	乌拉圭（站点误标巴西，描述自述埃斯特角城）	零售与商业地产（购物中心）
FA.A（名称已打码）	Nightspire	未标注	未披露（Data is not available now）
Community Medical Center, Falls City Nebraska	Qilin	美国（内布拉斯加）	医疗（社区医疗中心，攻击10月27日）
Straze Garden Center	Payload	德国（站点无旗标，描述自述 German）	零售（园艺中心与线上商店）
Kraft Lernen	Payload	德国	教育（教具与儿童发展材料供应）
SALEG（Sachsen-Anhaltische Landesentwicklungsgesellschaft）	Payload	德国	政府关联与房地产（萨克森-安哈特州属土地开发公司）
Phoenix Charter Academy	Rhysida	美国（马萨诸塞）	教育（特许学校网络）
Cabka	Auditteam	荷兰（站点误标西班牙，实为阿姆斯特丹上市再生塑料托盘制造商）	制造业（再生塑料托盘，攻击10月23日）
Pe\*CT（域名已打码）	Auditteam	荷兰	未披露
jl\*om（域名已打码）	Auditteam	新加坡	未披露
hn\*rg（域名已打码）	Auditteam	未标注	未披露
ro\*up（域名已打码）	Auditteam	未标注	未披露
Ivan Smith Furniture	Sarcoma	美国（站点误标菲律宾，实为路易斯安那州什里夫波特）	零售（65年历史家具连锁）
Gamdom V2	Whitearmor	无属地（链上加密赌场）	加密博彩（Whitearmor 二次挂牌，公开指责对方拒绝沟通）
Holcim	Emperador	瑞士	制造业与建材（1912年创立的全球建材巨头，当日分量最重目标）
quevedo-ponce.com	Safepay	厄瓜多尔（基多）	专业服务与法律（律所）
中国台湾某半导体企业（名称已脱敏）	Safepay	中国台湾	制造业与半导体（2001年创立，新竹科学园区）
Rood Trucking	Safepay	美国	交通运输与物流（1962年创立的卡车运输公司）
grifosespinoza.com	Safepay	秘鲁（利马）	零售与能源（加油站运营）
jumonji-u.ac.jp	Safepay	日本	教育（十文字学园女子大学）
everon.com.ar	Safepay	阿根廷（查科省）	科技与电信（光纤宽带服务）
中国台湾某谷物食品企业（名称已脱敏）	Safepay	中国台湾	农业与食品制造（谷物食品、营养品与植物基食品）
layam.com	Safepay	以色列	零售与分销（食品饮料、烟草、香水化妆品）
uaa.mx	Safepay	墨西哥	教育（阿瓜斯卡连特斯自治大学）
Digital Triumph	N0n	马来西亚	科技与电信（马来西亚电信，含姓名与身份证号的员工工资记录）
atljamaica.com（Sandals Resorts International）	Settra	牙买加	酒店与度假（加勒比奢华度假村连锁，攻击9月30日，潜伏31天）
flynn-construction.com	Settra	美国	建筑与工程（内部工程登记册：2021–2023年57个项目、原始合同4451万美元，攻击10月7日）
smithandcasady.com	Settra	美国	建筑与工程（含总包 Charles Perry Partners 的分包协议与保险要求，攻击10月15日）
nelsenarchitects.com	Settra	美国	建筑与设计（攻击9月28日，潜伏33天，当日最长）
Jons Civil Engineering Company Ltd.（JCEL）	Majinahanashi	爱尔兰	建筑与基础设施（道路桥梁施工与翻新，攻击10月21日）
Spontini	Thegentlemen	意大利（米兰）	餐饮（1953年创立的米兰披萨连锁）
Zehren and Associates	Thegentlemen	美国	建筑与设计（建筑设计事务所）
Pac Production（PAC Group）	Thegentlemen	瑞典（斯德哥尔摩）	工业与能源（1979年创立的电厂自动化公司）
United Rolls	Thegentlemen	美国	制造业（1898年创立的轧辊制造商）
Marie Kruses Skole	Thegentlemen	丹麦（法鲁姆）	教育（1869年创立的私立学校）
Serit CC（C.C. Solution AS）	Thegentlemen	挪威	科技与软件（2007年创立的IT服务商）
Northwest Micro Systems	Thegentlemen	美国	科技与软件（IT服务与软件开发）
Surexport	Thegentlemen	西班牙（韦尔瓦）	农业与食品（1994年创立，欧洲最大独立浆果生产商）
ASL İnsaat	Thegentlemen	土耳其（伊斯坦布尔）	建筑与工程（土木工程承包商）
Incomelec	Thegentlemen	哥伦比亚（波哥大）	工业与电气工程（2006年创立）
Epic Health	Thegentlemen	澳大利亚（墨尔本）	医疗（2001年创立的医疗集团）
SoftwareOne Turkiye	Thegentlemen	土耳其	科技与软件（瑞士上市 SoftwareOne 的土耳其分支）
Farmacias 911（Gettareq S.A.）	Thegentlemen	厄瓜多尔	零售与医药（厄瓜多尔主要制药企业）
Grupo Sanirent	Thegentlemen	墨西哥（墨西哥城）	其他服务（1983年创立的工业清洁与设施服务）
StarImage Dental Boutique & Oral Surgery	Thegentlemen	美国	医疗（高端牙科与口腔外科诊所）
WIKA Beton（PT Wijaya Karya Beton Tbk）	Thegentlemen	印度尼西亚	制造业（印尼最大预制与预应力混凝土企业）
Atlas Stamping Manufacturing	Thegentlemen	美国	制造业（1971年创立的金属冲压企业）
EPMMOP	Thegentlemen	厄瓜多尔（基多）	政府与公共事务（基多大都会公共工程与交通局）
Pure Perfection	Thegentlemen	德国（站点误标美国，描述自述 Wiesbaden GmbH）	专业服务（2008年创立的活动与传播代理）
Belmont Resorts	Thegentlemen	印度（站点误标澳大利亚，描述自述达兰萨拉麦克罗甘吉）	酒店与度假（喜马偕尔邦精品酒店）
Zinkan Enterprises	Thegentlemen	美国	环境服务（工业环境服务公司）
Malmsten	Thegentlemen	瑞典（泰比）	制造业（1975年创立的泳池设备全球领先厂商）
Betopia Group	Thegentlemen	孟加拉国（站点误标塞浦路斯，描述自述达卡）	科技（孟加拉科技控股）
Acodafe S.L.	Thegentlemen	西班牙（站点误标哥伦比亚，描述自述巴塞罗那马塔罗）	科技与软件（2009年创立的IT服务商）
Unisa Shoes	Thegentlemen	西班牙（埃尔切）	制造业与零售（1973年创立的鞋履品牌）
WABAG（VA Tech WABAG）	Thegentlemen	印度	能源公用与工程（1924年创立的全球领先纯水务技术公司）
Lydenburg Toyota	Thegentlemen	南非（姆普马兰加）	零售（丰田汽车经销商）
SAP Latin America and Caribbean	Thegentlemen	德国	科技与软件（SAP SE 的区域分支，当日最大软件企业名）
Groupe AC Environnement	Thegentlemen	法国	建筑与工程（环境工程公司）
Trade Union Co.	Thegentlemen	美国（站点标美国，但域名 tuc-dxb.com 指向迪拜）	零售与分销（汽车配件批发商）
SOME Srl	Thegentlemen	意大利（米兰）	科技与软件（2001年创立的 ERP 与财务系统咨询）
Mann Group	Thegentlemen	澳大利亚	建筑与工程（多学科工程与建筑集团）
Mercantile & Investment Corporation Bolivia S.A.	Thegentlemen	玻利维亚	金融（券商与投资银行）
SuperScale	Thegentlemen	斯洛伐克（站点无旗标，描述自述布拉迪斯拉发）	科技（2015年创立的游戏增长平台）
Rexville Radiology	Thegentlemen	美国（波多黎各巴亚蒙）	医疗（影像诊断中心）
Grundbaulabor Trier	Thegentlemen	德国（特里尔）	建筑与工程（1960年创立的岩土工程顾问）
ImmoVia Hausverwaltung	Thegentlemen	德国	房地产与物业（物业管理公司）
Regency Park Oak Knoll	Thegentlemen	美国	房地产（住宅社区与物业管理）
Eichstätt	Thegentlemen	德国（上巴伐利亚）	政府与公共事务（1.35万人口的历史小镇政府，1.5 TB，当日唯一数据量）
FPT Software	Thegentlemen	越南	科技与软件（1999年创立，东南亚最大IT服务商）
First Dental Care	Thegentlemen	美国（马萨诸塞）	医疗（牙科诊所网络）
Angeles Contractor	Thegentlemen	墨西哥	建筑与工程（1998年创立的总承包商）
Svedala Kommun	Thegentlemen	瑞典（斯科讷省）	政府与公共事务（市镇政府，营收2.821亿美元写进标题）
SK Capital Partners	Thegentlemen	美国（纽约）	金融（私募股权基金，营收6300万美元写进标题）
Cherry Bekaert	Thegentlemen	美国	专业服务（会计师事务所，标题营收4.467亿美元与描述实体不符，属生成式画像串号）
GIO Dental SL	Thegentlemen	塞拉利昂（描述称由尼日利亚牙医创办）	医疗（牙科诊所与技工所）
CommTank	Thegentlemen	美国（马萨诸塞）	工业与工程（1997年创立的储罐工程承包商）
INED	Thegentlemen	法国（巴黎）	科研与公共事务（1945年创立的法国国家人口研究所）
NOVADATA S.A.	Thegentlemen	阿根廷（布宜诺斯艾利斯）	科技与软件（1994年创立的IT集成集团）
Bi-Link	Thegentlemen	美国	制造业（1961年创立的精密制造商，营收3.802亿美元写进标题）
spencers.com（Spencer's）	Scarlettgroup	美国	零售（美国购物中心连锁零售商，Spirit Halloween 母公司，攻击10月30日）
chicagolawyer.com（Staver Accident Injury Lawyers）	Incransom	美国（芝加哥）	专业服务与法律（人身伤害律所，攻击10月30日）

几个必须单独拎出来的名字。Holcim 是1912年创立于瑞士的全球建材与建筑解决方案巨头，当日分量最重的单一实体，由 Emperador 拿下。SAP Latin America and Caribbean 与 FPT Software（东南亚最大IT服务商）同日上榜，但两者的描述都只有一句百科式介绍、无数据量无赎金——攻击者很可能并不知道自己打到了什么量级的目标。Sandals Resorts International 是加勒比最大奢华度假村连锁，由 Settra 在潜伏31天后放出。Spencer's 是美国购物中心连锁零售商、Spirit Halloween 的母公司。

当日的公共部门条目有4起，全部来自 Thegentlemen：厄瓜多尔基多大都会公共工程与交通局 EPMMOP、瑞典斯科讷省 Svedala 市镇政府、德国上巴伐利亚 Eichstätt 小镇政府、法国国家人口研究所 INED。这是本系列首次看到公共机构被同一团伙批量挂牌，其中 Eichstätt 条目写明1.5 TB，是当日唯一给出数据量的记录。

三、行业维度分析

按逐条核实口径：建筑与工程16起（19.0%）居首，科技与软件14起（16.7%）第二，制造业9起（10.7%）第三，零售与分销8起，医疗7起，教育与科研6起，专业服务与法律4起，酒店与度假3起，政府与公共事务3起，农业与食品2起，金融2起，环境、交通、加密博彩与未披露各1至2起。

建筑与工程首次以16起登顶，但这个第一要打折看——其中12起来自 Thegentlemen 一家的批量清单。真正有情报价值的是它的构成：德国州属土地开发公司 SALEG、瑞典电厂自动化 PAC Group、印尼最大预制混凝土企业 WIKA Beton、全球领先纯水务技术公司 WABAG、法国环境工程 Groupe AC Environnement、澳大利亚多学科工程集团 Mann Group。这不是某个团伙对工程行业的定向渗透，而是工程类企业普遍存在对外暴露的远程访问入口与项目文件服务器，成了扫描器的天然高产田。

科技与软件14起的质量跨度极大：一端是 SAP 与 FPT Software 这类跨国企业，另一端是十几人的地方性 IT 服务商（挪威 Serit CC、美国 Northwest Micro、西班牙 Acodafe、阿根廷 NOVADATA）。两端同日上榜说明扫描规则里完全没有\"目标价值\"这个维度。值得单独记一笔的是意大利 SOME Srl——一家 ERP 与财务系统咨询公司自己被勒索，它手里握着的是别人的实施文档与财务系统访问路径。

专业服务与法律只剩4起，较10月30日的高点（9起，律所占5家）明显回落，但跨团伙特征保持：厄瓜多尔 Quevedo & Ponce 律所（Safepay）、芝加哥 Staver 人身伤害律所（Incransom）、美国 Cherry Bekaert 会计师事务所（Thegentlemen）、德国活动传播代理 Pure Perfection（Thegentlemen）。律所赛道没有降温，只是从\"头部团伙的主营赛道\"回到\"多团伙分散命中\"的常态。

医疗7起延续了近两周的\"轻资产机构\"偏好：内布拉斯加社区医疗中心、澳大利亚 Epic Health 医疗集团、波多黎各影像诊断中心、两家牙科诊所（StarImage、First Dental、GIO Dental 共3家口腔）、厄瓜多尔制药零售 Farmacias 911。当日无一家大型综合医院上榜，口腔赛道一天被点名3次。

四、区域维度分析

校正后的区域分布：欧洲26起（31.0%，德国8、西班牙3、瑞典3、荷兰2、意大利2、法国2，另有保加利亚、瑞士、爱尔兰、丹麦、挪威、斯洛伐克各1）、北美23起（27.4%，全部为美国，含波多黎各1）、亚太12起（14.3%，含中国台湾2）、拉丁美洲与加勒比14起（16.7%，厄瓜多尔3、墨西哥3、哥伦比亚2、阿根廷2，另有秘鲁、乌拉圭、牙买加、玻利维亚各1）、中东3起（土耳其2、以色列1）、非洲2起（南非、塞拉利昂各1）、属地未标注4起。

这是本系列首次出现欧洲反超北美的日子，但不要过度解读：26起欧洲条目里有19起来自 Thegentlemen 的批量清单，集中度极高。若剔除该团伙，北美仍以18比7领先。单一团伙的一次批量释放足以改写整个区域排序——这正是\"按区域做风险预判\"方法论失效的直接证据。

⚠️ 旗标噪声11条（13.1%），依然必须逐条核：JHAMF Group 标孟加拉国实为哥伦比亚；Punta Shopping 标巴西实为乌拉圭；Cabka 标西班牙实为荷兰；Ivan Smith Furniture 标菲律宾实为美国路易斯安那；Pure Perfection 标美国实为德国；Belmont Resorts 标澳大利亚实为印度；Betopia Group 标塞浦路斯实为孟加拉国；Acodafe 标哥伦比亚实为西班牙；Straze Garden Center 与 SuperScale 无旗标（分别为德国、斯洛伐克）；Trade Union Co. 标美国但域名 tuc-dxb.com 指向迪拜。只取旗标会把丹麦、挪威、斯洛伐克、印度、孟加拉国、乌拉圭、哥伦比亚整个漏掉，并把菲律宾和塞浦路斯凭空算进来。

拉丁美洲14起是当日第二个值得记的信号。厄瓜多尔3起（律所、制药零售、市政交通局）创本系列该国单日新高，墨西哥3起、哥伦比亚2起、阿根廷2起，分布在 Safepay、Thegentlemen、Settra、Emperador 四个互不关联的团伙手上。对照10月26日 Qilin 17起散在8国、10月30日 Qilin 11起里5起压在墨西哥，拉美正在从\"偶发命中\"变成\"稳定供给\"。另有牙买加 Sandals 度假村与玻利维亚券商各1起，覆盖到此前极少出现的两个国家。

中国台湾2起均由 Safepay 拿下：一家位于新竹科学园区、2001年创立的半导体企业（长距离高频产品线），一家谷物食品与植物基食品制造商。当日无中国内地及中国香港、中国澳门主体。

五、攻击团伙分析（团伙分布）

团伙	起数	占比	当日状态与特征
Thegentlemen	50	59.5%	单日单团伙本系列最高纪录；攻击日集中在10月26日至30日，10月31日一次性释放；覆盖22个国家地区，行业极度分散
Safepay	9	10.7%	全部以域名挂牌、跨9个国家地区，但每条都配完整生成式企业画像，是 Qilin 式空描述流水线的升级版
Auditteam	5	6.0%	4条域名打码 + 1条 Cabka（荷兰上市再生塑料托盘商，攻击10月23日，潜伏8天）；描述均为 No description available
Settra	4	4.8%	当日唯一全部为\"老存货\"的团伙，攻击日9月28日至10月15日，潜伏16至33天；延续内部文件尽调式指控
Payload	3	3.6%	延续德国偏好：园艺中心、教具供应、州属土地开发公司，均带完整描述
Emperador	2	2.4%	拿下 Holcim（瑞士建材巨头，当日分量最重目标）与乌拉圭购物中心
Vexy Ransomware	2	2.4%	本系列近两周首次出现；保加利亚 System Soft 与哥伦比亚 IT 服务商，描述极简
Nightspire	1	1.2%	1条全打码条目，Data is not available now
Qilin	1	1.2%	从10月26日17起、10月30日11起降至1起；内布拉斯加社区医疗中心，描述仍为 N/A
Rhysida	1	1.2%	马萨诸塞特许学校网络
Sarcoma	1	1.2%	路易斯安那家具连锁（站点误标菲律宾）
Whitearmor	1	1.2%	加密赌场 Gamdom 二次挂牌，公开指责对方拒绝沟通
N0n	1	1.2%	马来西亚电信 Digital Triumph，取走含姓名与身份证号的员工工资记录
Majinahanashi	1	1.2%	爱尔兰土木工程公司 JCEL，攻击10月21日，潜伏10天
Scarlettgroup	1	1.2%	美国 mall 连锁零售商 Spencer's（Spirit Halloween 母公司）
Incransom	1	1.2%	芝加哥 Staver 人身伤害律所

Thegentlemen 的50起是当日唯一的主线，也是本系列迄今观测到的最大单日单团伙投放。它10月9日曾以36起（占当日82起的43.9%）创下纪录，一个月后的10月31日把纪录推到50起、59.5%。50条的攻击预估日集中在10月26日至30日，10月31日一次性放出——与 Qilin 10月26日17条、10月30日11条同属\"攒批集中释放\"节奏，但量级翻了三倍。

这50条的内容形态高度一致：一句 LLM 生成的百科式企业介绍 + 官网域名，部分条目把营收数字直接写进标题（Svedala Kommun 2.821亿美元、Cherry Bekaert 4.467亿美元、Bi-Link 3.802亿美元、SK Capital Partners 6300万美元）。营收数字写进标题，是拿受害者的公开财务数据当赎金锚点——这条手法从 Helix 的倒计时文案一路沿用至今，已成为批量投放团伙的标准模板。50条里零条披露初始访问向量、零条涉及CVE、零条写明赎金或加密范围。

对防守方而言，这50条的正确读法是\"50条暴露面告警\"，不是\"一个重大事件\"。理由有三：一是行业与国别极度分散，22个国家地区、几乎零行业聚焦，是扫描器按命中顺序吐结果；二是描述全部是公开可得的企业百科，不含任何内网信息；三是 SAP、FPT Software 这类名字与普通中小企业并列，说明团伙自己对目标价值没有区分。但同时也要看到，扫描器确实会命中大目标——上不上榜不取决于你有多大，取决于你的暴露面有没有被扫到。

Safepay 的9起是 Qilin 式流水线的\"升级版\"。此前我们见过 Qilin 在10月26日（17条）与10月30日（11条）挂出全部空描述的批量清单；Safepay 同样是9条跨9个国家地区、行业零重合的批量投放，但每一条都配了完整的生成式企业画像（基多律所的服务范围、1962年从一辆卡车起家的运输公司、十文字学园的办学定位）。批量投放正在从\"裸挂牌\"进化到\"批量 + 叙事\"，成本只增加了一次 API 调用，杀伤力却完全不同。

Settra 是当日唯一的\"逆向样本\"。它的4条全部是老存货：nelsenarchitects 潜伏33天、Sandals Resorts 31天、flynn-construction 24天、smithandcasady 16天，没有一个条目的攻击日在10月15日之后。文案延续其一贯的\"内部文件尽调式指控\"——工程登记册写明2021至2023年57个项目、原始合同4451万美元，分包协议点名总包 Charles Perry Partners 的保险要求。它是当日唯一还在做\"人工精读受害者数据\"的团伙，与 Thegentlemen 的50条生成式画像形成极端对照。

Qilin 从10月30日的11起骤降至1起，印证了我们此前的判断：它的目标池是按扫描批次组织的，起伏完全取决于什么时候跑完一轮，用它的日活数推断趋势没有意义。另两个变化：Vexy Ransomware 是本系列近两周首次出现的新名字（2起，保加利亚与哥伦比亚）；Whitearmor 第三次挂出加密赌场 Gamdom，并在文案里公开指责对方拒绝沟通，属二次施压。

六、攻击手法分析

当日84条挂牌中，零条披露初始访问向量、零条涉及具体CVE、零条写明赎金金额或加密范围。能提取的技术线索只有以下几条，但每一条都指向明确。

唯一的量化数据来自一条政府条目。德国上巴伐利亚 Eichstätt 小镇的挂牌写明1.5 TB，是一座1.35万人口历史小镇的政府数据体量。公共部门的1.5 TB 意味着什么？住民登记、税务、社工、学校、规划审批、公务邮箱归档全在里面，且这类机构普遍没有专职安全团队。当日4起公共部门条目里只有这一条给了数据量，其余3条（EPMMOP、Svedala、INED）仅配百科介绍。

N0n 连续第二日指向薪酬数据。当日它拿下马来西亚电信服务商 Digital Triumph，清单写明含姓名与国民身份证号的员工工资记录。对照10月30日它取走阿联酋 Minutes Quick Services 的15,832条含全名工资转账记录，N0n 的取数偏好在10天内完成了从\"VPN账号与域控拓扑\"到\"电网实时遥测\"再到\"薪酬发放记录\"的两次转向，路径是\"能进来→能看懂产线→能直接动钱\"。带身份证号的工资记录可直接用于薪资劫持与员工定向诈骗，危害等级高于普通名录。

⚠️ 生成式画像出现串号，这是本系列第二次观测到。Thegentlemen 挂出的 Cherry Bekaert 条目标注美国、域名 cbh.com（确为该会计师事务所官网），标题写\"营收4.467亿美元\"，但描述全文却是\"CBH Group，澳大利亚最大谷物合作社，1933年创立\"——一家美国会计所与一家澳洲农业合作社被同一段生成文本混在了一起。首次观测是10月25日 N0n 把一家芝加哥财务顾问描述成拥有验光室与眼科病历。当泄露站普遍采用大模型生成画像时，\"描述\"字段的可信度已经低于国别旗标，只能当方向性线索，绝不能用来做归因或判断失窃范围。

潜伏期分化到极端。最长的是 Settra 的 nelsenarchitects（33天），最短的是 Thegentlemen 的 CommTank 与 INED（攻击10月30日、披露10月31日，隔夜即挂）。两种模式对防守方的意义完全不同：长潜伏意味着数据是\"榨干后再择机公开\"，短期窗口内还有处置余地；隔夜即挂意味着从入侵到公开几乎没有缓冲，发现即已泄露。

七、攻击动机分析

•︎ Thegentlemen 的50起是纯粹的规模动机，不是勒索动机。50条全部零赎金、零数据量、零谈判条款，连受害者是不是真的会付钱都不重要。它的目标是把泄露站的条目基数与品牌曝光做起来——与其说在勒索，不如说在打广告。这类团伙的威胁等级应按\"暴露面被扫到\"评估，而不是\"定向入侵已经发生\"。

•︎ 把营收数字写进标题，暴露的是定价锚点前置。Svedala 2.821亿美元、Cherry Bekaert 4.467亿美元、Bi-Link 3.802亿美元、SK Capital 6300万美元——攻击者在你还没开始谈判之前，就已经替你定好了\"你值多少钱\"。这是一种心理锚定：让受害方在看到自己被公开标价后，倾向于按这个量级评估损失，从而提高支付意愿。

•︎ 公共机构上榜的动机是\"合规与舆论后果\"，不是停机损失。市镇政府停摆一天的直接影响有限，但住民信息、税务记录与公务邮件外流会立刻触发监管通报、公众质询与政治责任。\\攻击者很清楚这类主体的支付意愿来自\"不能让这件事被公开讨论\"，这与律所的职业责任逻辑同构。

•︎ Settra 的长潜伏与尽调式文案是另一种动机：卖的不是数据，是\"我们会把监管和客户想看的文件摆上台面\"。点名总包名称、写明合同金额、列出保险要求——它挑的是会让受害者在商业关系里难堪的那几份文件。这是本系列在10月18日首次识别出的手法，当日再次完整复现。

•︎ Whitearmor 三次挂出同一家加密赌场，动机已不是赎金而是羞辱。文案明写\"我们给了 Gamdom 多次沟通机会，均无回应\"，说明首轮谈判已经破裂，挂牌的目的变成公开施压与报复。对这类团伙，拖延谈判等于主动升级。

•︎ Safepay 给批量清单配上完整叙事，动机是提高\"看起来可信\"的程度。空描述挂牌容易被当成误报忽略，配了企业画像的条目则让受害者相信对方真的进过自己的系统——叙事本身成了施压工具的一部分。

八、攻击趋势分析

•︎ 单日总量创下84起新高，但增量100%来自单一团伙的批量释放。84起减去 Thegentlemen 的50起只剩34起，落回10月下旬的常规区间。这说明生态的真实活跃度没有变化，变化的是个别团伙的投放节奏——用日总量判断\"勒索是不是变多了\"已经完全失效，必须拆到团伙维度。

•︎ \"攒批集中释放\"正在成为头部团伙的标准作业，且量级在翻倍。Qilin 10月26日17条、10月30日11条，Thegentlemen 10月9日36条、10月31日50条。同一团伙的日活数呈现\"多日归零 + 单日爆发\"的脉冲形态，任何基于连续日活的趋势外推都会失真。

•︎ 批量投放正在从\"裸挂牌\"进化到\"批量 + 生成式叙事\"。Safepay 的9条、Thegentlemen 的50条都配了完整企业画像，成本只是一次 API 调用。这条演化方向对防守方不利：带叙事的条目更难被当成误报忽略，也更难判断攻击者到底拿到了什么。

•︎ 生成式画像正在成为新的噪声源，可信度已低于国别旗标。当日 Cherry Bekaert 的描述把美国会计师事务所与澳洲谷物合作社混为一家，此前10月25日 N0n 也有同类串号。泄露站的\"描述\"字段从此只能当方向性线索，不能用于归因、不能用于判断失窃范围，一切必须回到自己的日志验证。

•︎ 公共部门首次被纳入批量清单。EPMMOP、Svedala Kommun、Eichstätt、INED 4起全部来自 Thegentlemen。此前公共机构多以单点定向事件出现，现在被扫描器与普通企业同等对待——这意味着\"我们是公共部门，规模小、没人会盯\"的假设彻底失效。

•︎ 拉美正在从偶发命中变成稳定供给。当日14起分布在8个国家、4个互不关联的团伙；对照10月26日与10月30日墨西哥的集中上榜，拉美与东南亚已连续多日稳定贡献条目，不再是随机命中。

•︎ 专业服务与法律赛道降温但跨团伙特征保持。10月30日9起（律所5家）的高点后，当日回落至4起，分属 Safepay、Incransom、Thegentlemen 三家。该赛道已从\"头部团伙主营\"回到\"多团伙分散命中\"的常态，律所被盯上不再是新闻，而是日常。

九、防守方建议

结合当日84起的结构特征，给出六条可立即落地的建议。

•︎ 不要把\"泄露站新增84起\"当成生态活跃度翻倍来响应。其中50起来自单个团伙的一次批量释放，行业国别极度分散、全部零技术叙事。正确的处理方式是把它拆成50条独立的暴露面告警逐条核对，而不是当成一个重大事件做全员动员。

•︎ 工程建筑、水务、环境类企业应立即做一轮对外暴露面自查。当日建筑与工程16起居首，且涵盖州属土地开发、电厂自动化、预制混凝土、水务工程、环境工程等高价值节点。自查重点放在对外暴露的远程访问入口、项目文件服务器与设计图纸库，并对\"项目文件批量下载\"建立告警。

•︎ 公共部门不能再假设\"规模小、没人盯\"。当日4起公共机构上榜，其中德国 Eichstätt 1.5 TB。市镇、区县一级政府普遍缺少专职安全团队，但数据体量并不小——住民登记、税务、社工、公务邮箱一旦外流，通报与舆论压力远大于同等规模的民营企业。建议优先做住民数据与公务邮箱的独立加密与最小权限。

•︎ 薪酬与工资数据需要提高到财务数据同等的保护等级。N0n 连续两日指向 payroll：阿联酋15,832条含全名工资转账记录、马来西亚含身份证号的员工工资记录。建议对 payroll 系统做独立审计、限制批量导出、对异常批量下载建立告警，并对员工做针对性的薪资劫持钓鱼防范宣贯。

•︎ 不要把泄露站的\"描述\"字段当事实。当日 Cherry Bekaert 的描述串号到一家澳洲谷物合作社，说明生成式画像的实体归属经常出错。上榜后第一件事永远是回到自己的日志做验证，而不是照着攻击者的清单做通报范围判断——照抄极可能通报错实体、错数据类型。