勒索事件日报：2026年-11月-01日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月2日 14:00
福建

去阅读

导读

11月1日（UTC）新增勒索受害者16起，创本系列单日新低；Qilin独占10起占62.5%；Whitearmor攻陷GoDaddy客服平台，1.36万员工账号与Okta联邦配置外流。

一、勒索数据概述

2026年11月1日（周日，UTC 自然日），全球勒索软件泄露站新增受害者条目16起，涉及7个攻击团伙。这是本系列开始监测以来的单日最低值——此前的最低纪录是10月11日（同为周日）的21起，10月下旬多数工作日落在24至43起区间。

两个口径交代。第一，数字是快照不是终值：该站存在事后回填现象，10月29日的统计曾在同一次执行内从21起涨到30起。本文数据截止时间为2026年11月2日00:00 UTC，两次独立抓取（不同 query 参数）交叉验证，面板计数与逐条枚举均为16起，完全吻合；单日绝对值的最终核对应等24小时。第二，国别旗标仍不能直接用：当日16条里1条旗标与实际属地不符、1条无旗标，本文全部回到条目原文、官网域名与描述自述逐条核实。

比总量更有信息量的是两个结构信号。其一，Qilin 独占10起、占比62.5%，创本系列单日头部集中度新高——此前的最高纪录是10月31日 Thegentlemen 的59.5%、10月11日 N0n 的57.1%。其二，全部16条均为攻击日=披露日的当日实时挂牌，零存量、零匿名打码——周日仍在出货的基本只剩自动化流水线。

把周日放回近四周序列看：10月11日21起、10月18日32起、10月25日21起、11月1日16起，四个周日全部显著低于工作日常态。唯一的周末例外是10月31日周六的84起，那是 Thegentlemen 一次批量释放制造的。周末低活跃的节律已经连续四周复现：挂牌的是人，人跟着工作日历干活；能打破这个节律的只有攒批投放的自动化。

二、被攻击单位分析（受害者清单）

当日16家被公开点名的主体如下，国别已按条目原文、官网域名与描述自述逐条校正。当日无中国内地及港澳台主体。

几个必须单独拎出来的名字。AmplifAI（GoDaddy instance）是当日分量最重的条目，也是本系列首个被整体挂牌的客服运营平台实例——名义受害条目是 GoDaddy 在客服绩效平台 AmplifAI 上的租户实例（godaddy.ampbi.net），但外泄的数据主体是 GoDaddy 自己及其客服外包链：13,565个员工账号（含口令字段）、459个管理员、5,239个客服坐席，外加 Okta 单点登录租户、Office 365 联邦应用配置与三家BPO合作伙伴（Teleperformance、Genpact、SGS）的组织架构。细节在攻击手法一章展开。

Meshbesher & Spence 是明尼阿波利斯的知名人身伤害律所，Qilin 挂牌但其域名下检出212条暴露口令（7条高危），并部署了 Proofpoint、DocuSign 与 Microsoft 365——安全产品齐全的律所依然被当日攻破当日挂牌。hitech group 是印度孟买的硬质塑料包装集团 Hitech Corporation（BSE 526217，营收约6300万美元），由 Asian Paints 联合创始人 Ashwin Dani 于1991年创办——站点旗标误标为美国，实为印度。EVINOKS 是土耳其酒店餐饮设备制造商，其挂牌文案宣布\"未售出数据开始免费释放，保留一个月\"，是当日最值得警惕的新话术。

其余条目规模均不大：柏林供暖服务商、德国天然化妆品厂商、匈牙利铁路车辆修理厂、美国社区物业管理公司、英国食品杂货电商SaaS、印尼风险管理咨询。16家里没有一家财富500强，但每个行业几乎都恰好一家——小体量日的条目构成，恰恰最接近扫描器的真实命中分布。

三、行业维度分析

按逐条核实口径：专业服务与法律4起（25.0%）居首，制造业4起（25.0%）并列第一，未披露4起（25.0%），科技与客服平台、零售电商、医疗科研、建筑设施服务各1起。

专业服务与法律的4起分布在三个团伙手上：明尼阿波利斯人身伤害律所（Qilin）、德国咨询公司 qc-consult（Qilin）、美国社区物业管理公司（Qilin）、印尼风险管理咨询（Lockbit5）。律所赛道在10月30日（律所5家）与10月31日回落后仍在产出，且从\"头部团伙主营\"彻底回到\"扫描命中\"常态——Meshbesher & Spence 的212条暴露口令说明，口令暴露面大的专业服务机构被持续命中不是巧合。

制造业4起的共同点是\"传统重资产中小厂\"：印度塑料包装上市公司、德国天然化妆品、土耳其酒店设备、匈牙利铁路车辆修理。没有一家高技术制造业，全部是包装、化妆品、餐饮设备、车辆维修这类流程型工厂——这类企业普遍有老旧的远程运维入口与有限的IT预算，是扫描器最稳定的高产田。

未披露4起（25.0%）全部来自 Qilin 的空描述条目（Global Holding、Shibata、Forum、Danser）。这一比例本身即结论：当日62.5%的条目来自一个不叙事的团伙，泄露站在周日几乎退化成一份纯倒计时清单。唯一的科研类条目 fzmb（德国医疗技术与生物技术研究中心）也来自 Qilin，仅有一个名字、零描述。

四、区域维度分析

校正后的区域分布：欧洲7起（43.8%，德国4、英国1、奥地利1、匈牙利1）居首，北美4起（25.0%，全部为美国），亚太3起（18.8%，日本、印度、印度尼西亚各1），中东1起（土耳其），属地未标注1起。

欧洲登首要打两层折扣看。第一，7起欧洲条目里4起来自 Qilin 一家（fzmb、CMD Naturkosmetik、qc-consult 三个德国条目加匈牙利铁路修理厂）；剔除 Qilin 后美国4起对欧洲3起，北美仍略占优。第二，当日总量只有16起，单起权重6.25%，任何区域占比结论在小样本日的置信度都很低——这一天的正确用法是看国别覆盖而非排序。

德国4起连续多日稳定上榜（此前10月22日德5起、10月26日德4起、10月31日德6起），且当日4起分散在 Shiba、Qilin 两个团伙、四个不同行业，说明德国中小企业暴露面被多团伙的扫描规则同时覆盖，是结构性的供给而非偶然命中。亚太3起分属日本、印度、印尼三国三个团伙，覆盖面与工作日相比明显收窄，符合周日节律。

⚠️ 旗标噪声1条：hitech group 标注美国旗标，实为印度孟买——描述自述总部孟买、1991年由 Ashwin Dani 创办，域名邮箱走印度 logix.in 邮件服务，Hitech Corporation 为 BSE 上市公司。只取旗标会把印度整个漏掉、并把美国高估为5起（实际4起）。当日无中国内地及中国香港、中国澳门、中国台湾主体。

五、攻击团伙分析（团伙分布）

Qilin 的10起、62.5%是当日唯一的主线，也是本系列单日集中度的最高纪录。10条全部空描述、全部当日攻击当日挂牌，目标跨德国3、美国3、日本1、匈牙利1、奥地利1、未标注1，行业从律所、医疗研究、化妆品、咨询、物业管理到铁路车辆修理零重合——这是教科书级的扫描流水线输出：不看目标是谁，只看能不能进。Qilin 近两周的节奏是10月26日17起、10月30日11起、10月31日1起、当日10起，脉冲式投放的振幅极大，用它的日活数做趋势外推毫无意义。

Whitearmor 被站点标注 New Group，但它的战绩清单完全不\"新\"：10月21日首现以来已拿下 Whirlpool、J.B. Hunt（二次挂牌羞辱）、某中国家电巨头（50万美元）、巴西自由党（500万美元）、加密赌场 Gamdom 与 rolly.io。当日它拿下 GoDaddy 客服平台实例，是第二次攻破\"运营平台型\"目标。站点的\"New Group\"标签衡量的是累计受害者数量，不是能力——新团伙冷启动即巅峰已成常态，\"新=不成熟\"的判断再次失效。

Direwolf 是当日技术画像最完整的团伙：2025年4月首起、累计139起受害者、37国、Golang 编写（Curve25519/ChaCha20 加密）、人工运营的小核心团队（非加盟模式）、赎金最高50万美元、平均潜伏10.4天、已知利用5个CVE（Nx Console CVE-2026-48027、Check Point IKEv1 CVE-2026-50751、Exchange CVE-2023-21529、ScreenConnect CVE-2024-1708、Windows CVE-2025-60710）。近30日攻击速度-67%，属沉寂型老团伙在低活跃窗口复出，当日条目 My Cloud Grocer 自报数据量10M。

Shiba 与 Hyflock 的第二次出手都值得记。Shiba 10月29日首发4起全是美国机构（养老社区、保险、牙科、制造），当日转向德国柏林供暖服务商——方向漂移说明其目标池同样是暴露面驱动而非地域驱动。Hyflock 10月14日首发时8起跨7国打的多是中小机构，当日目标升级为 BSE 上市公司，且描述自带一份\"防混淆指南\"逐一列出5家同名印度公司——这是生成式画像在打\"防串号\"补丁，对照10月31日 Cherry Bekaert 与10月25日 N0n 的两次串号事故，说明串号问题已经被攻击者自己注意到并开始修补。Barracuda（2026年8月首现的新RaaS，与安防厂商同名勿混）拿下土耳其酒店设备商 EVINOKS。

六、攻击手法分析

当日16条挂牌中，零条披露初始访问向量、零条涉及具体CVE、零条写明赎金金额——技术含量全部集中在一条里。

AmplifAI（GoDaddy instance）不是一次普通的企业入侵，而是客服运营平台连同身份层的整体外泄。清单包含：13,565个员工账号的完整用户库（含口令字段，其中459个管理员、502个经理、5,239个客服坐席，非默认口令仅9个）、6,184个AD账号走 Okta 单点登录、Office 365 联邦应用ID、Okta 认证API端点且支持 password grant 授权、34个组织单元、1,201条员工花名册（1,193个 @godaddy.com 邮箱）、4,451条登录日志（样本位置显示印度与秘鲁的 Teleperformance 坐席）、227个呼叫中心项目定义。

这份清单的价值不在数据量，而在\"继续进入的能力\"。Okta 租户地址、联邦应用ID、口令库与认证端点的组合，意味着 GoDaddy 及其客服外包链上的 Teleperformance（印度/秘鲁）、Genpact、SGS 三家BPO的坐席体系都可能需要凭据轮换。这与10月22日 DR.SCHNELL 案（TLS私钥+税务证书+O365管理员口令打包挂牌）构成同一条演化线：访问类材料正在取代业务数据本身，成为挂牌的核心筹码。Whitearmor 的文案照例把联系用的 session ID 直接写在挂牌里，延续其\"拖延即升级\"的谈判风格。

EVINOKS 条目带来一个新话术：\"未售出数据开始免费释放，保留一个月，请自行下载保存。\"这是 Barracuda 对土耳其酒店设备商的二次处置——卖不掉的数据从谈判筹码变成免费公开的广告素材。对受害者，不付款的代价从\"可能泄露\"升级为\"必定永久公开\"；对围观的其他潜在受害者，这是一次\"我们说到做到\"的现场演示。LockBit 时代曾有 free-release 传统，这一话术若被更多团伙效仿，将直接改变\"拖过倒计时就没事\"的侥幸心理。

凭据暴露面数据（ParanoidLab 聚合）：Meshbesher & Spence 212条口令（7条高危）、hitech group 128条（3条高危）、synergy.co.id 103条（27条高危，当日最高）、Select Community Management 72条（8条高危）、EVINOKS 41条、Danser 33条。律所的口令暴露量再次显著偏高，与近期律所赛道被持续围猎互为因果——口令暴露量与被勒索概率之间的相关性，已经连续多日在数据上成立。

七、攻击动机分析

•︎ Qilin 的10起是纯粹的倒计时施压动机。零叙事、零数据量、零谈判条款，全部实名挂牌——它卖的不是数据，是时间压力本身。周日仍在批量出货这个事实本身就是证据：自动化流水线没有休息日，周日下午被挂牌的坐席体系与工作日没有任何区别。

•︎ Whitearmor 攻击平台的动机是\"杀伤半径最大化\"。打一个 AmplifAI 实例，等于一次挂牌同时威胁 GoDaddy 与印度、秘鲁、菲律宾裔坐席体系背后的三家BPO。对照它此前给政党数据报500万美元、给TB级家电数据只报50万美元的定价逻辑：报价与数据量无关，与公开后的连带影响半径有关——平台级目标的连带半径是全网最大的。

•︎ Barracuda 的免费释放是心理战升级。把\"未售出数据\"转为限时免费资源，一是对该受害者的终极施压（错过窗口数据永久公开），二是给后续所有受害者的预告演示。动机已经从\"向你收钱\"扩展为\"用你向别人收钱\"。

•︎ Direwolf 打电商SaaS是杠杆动机。My Cloud Grocer 是食品杂货电商的平台供应商，打穿一家SaaS等于同时触达其全部商户客户。人工运营团伙专挑供应链节点，与流水线团伙的随机命中形成鲜明分工。

•︎ Qilin 集中打德国中小企业（4起里3起）的动机是命中率，不是地缘。三个德国条目分属医疗研究、化妆品、咨询三个行业，唯一的共同点是\"中等暴露面 + 有限防护预算\"。攻击者没有针对德国，是德国中小企业恰好最符合扫描规则的目标画像。

八、攻击趋势分析

•︎ 单日新低与集中度新高同时出现，宣告\"日总量\"指标彻底失效。16起的低量里有10起来自一家，剔除后仅6起。总量既不能反映生态活跃度，也不能反映威胁分布——只有团伙维度的拆解还有意义。

•︎ 周日节律连续四周复现：21/32/21/16。人工运营团伙周末停更，自动化流水线全年无休。周日的泄露站新增量可以作为\"自动化投放占比\"的近似观测指标——当日10/16=62.5%来自疑似全自动化的 Qilin。

•︎ \"平台级目标\"成为新的猎物类型。从10月13日 HYFLOCK 打厄瓜多尔国家警察总部，到10月31日 SAP 与 FPT Software 只配一句百科介绍，再到当日 GoDaddy 客服平台实例被整体挂牌——攻击者开始专门寻找\"一个入口背后站着多家企业\"的目标，打平台一次等于打穿其背后的全部租户、外包商与客户。

•︎ \"新团伙\"标签严重通胀。站点当日给 Whitearmor 与 Hyflock 都挂了 New Group 标，但前者已有 Whirlpool、GoDaddy 级别的战绩，后者首发日即8起跨7国。新团伙的平均首发质量持续上升，\"新=弱\"的防御假设必须废弃。

•︎ 免费释放话术值得持续盯防。若 Barracuda 的\"未售出数据免费一个月\"被其他团伙效仿，\"不付款→数据泄露\"的传统博弈结构将向\"不付款→数据永久免费公开\"倾斜，届时拖字诀对所有规模的企业都失效。

•︎ BPO与外包供应链风险显性化。Teleperformance、Genpact、SGS 三家BPO的组织架构出现在 GoDaddy 的失陷数据里——甲方的安全边界早已被外包商稀释，而外包商自身往往并不知道自己出现在客户的失陷清单中。

九、防守方建议

结合当日16起的结构特征，给出六条可立即落地的建议。

•︎ 使用 Okta 或同类 IdP 联邦 Office 365 的组织，立即做三件事：核对全部应用授权与联邦配置、确认用户库中不存在明文口令字段、禁用 password grant 这类过时的授权方式。对照 AmplifAI 案，459个管理员账号与口令库一起外泄的后果是整个客服体系的信任体系归零——高权限账号必须假设已泄露并优先轮换。

•︎ 周末值守不能随工作日历缩编。当日16条全部为攻击当日挂牌，Qilin 在周日照常投放10起。攻击自动化程度越高，\"工作时间内响应\"的假设越危险——告警值班与SOAR编排应按7×24设计。

•︎ 律所与专业服务机构应把\"口令暴露面排查\"当成例行体检。当日律所条目检出212条暴露口令，且近两周律所赛道被多团伙持续命中。先查自己域名下有多少凭据在窃密器市场上流通，再谈防勒索——这两件事的相关性已在数据上反复成立。

•︎ SaaS与平台供应商必须做租户级隔离与出方向导出告警，甲方选型时把\"供应商被勒索时的连带范围\"写进尽调清单。AmplifAI 案说明：平台方的失陷会同时暴露所有租户的组织架构、花名册与登录习惯，云服务的安全责任边界不能只停在\"我们的平台是安全的\"这句话上。

•︎ 外包与呼叫中心运营方应主动向甲方核实是否出现在失陷清单中。三家BPO的组织架构出现在 GoDaddy 的失陷数据里，但它们大概率毫不知情。凡为大型客户提供坐席服务的BPO，都应建立\"客户失陷即我方凭据轮换\"的联动预案。

•︎ 上榜后先验证、再通报。小样本日（如当日16起）单条权重极高，而生成式画像的串号问题上周刚出现过两次。照抄攻击者的清单做监管通报，极可能通报错实体、错范围——一切以自己的日志验证为准。