勒索事件日报：2026年-11月-07日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月8日 21:00
福建

去阅读

导读

11月7日新增45起、11个团伙。马士基被索赎500万美元；Metaencryptor一天打掉5家韩国工业企业；N0n改卖能直接算账的经营数据。

一、勒索数据概述

2026年11月7日（周六，UTC自然日），全球勒索软件泄露站新增受害者条目45起，涉及11个攻击团伙，较前一日的27起回升约67%。

统计口径为11月7日（UTC自然日）新发现条目，两次独立抓取（不同query参数）交叉验证，面板计数45与逐条枚举45完全吻合。当日无中国内地及港澳台主体。

放回本周序列：11月3日46、11月4日69、11月5日51、11月6日27、11月7日45。总量回到本周中位，但成分变了——昨天是批量团伙集体静默后的底噪，今天是三条独立主线同时出手：马士基被公开索赎、韩国五家工业企业同日被点名、N0n把货架从“客户名单”换成了“经营账本”。

今天最硬的一个数字是500万美元和“四小时”。Whitearmor给马士基的报价单上写着：“五百万美元大约等于你们四小时的EBITDA”——它把赎金直接折算成财报科目，读者不需要懂技术，也能在董事会里把这笔钱和季度报表放在一起比较。这比任何“否则我们将公开数据”的威胁都有效，因为它把谈判从“值不值”改成了“划不划算”。

第二个信号在韩国。Metaencryptor一天点名五家韩国工业企业：现代建设、大亚建设、大原化学、又新系统，加一条消费电子广告数据。这家团伙从2023年8月至今累计只有65起、韩国历史战绩6起——今天一天打掉5起。这不是随机的国别漂移，是目标池切换。

第三个信号是N0n的货架变了。编号#138到#147恢复连号，但同一天四条实名条目卖的东西完全不同：Staples的单品毛利率、Lampenwelt的8,100万条搜索词、Infutor的17亿行身份图谱、Higginbotham的21.7万份保单底稿。这批数据不服务于钓鱼和诈骗，它服务于定价、竞对分析和做空。\\

二、被攻击单位分析（受害者清单）

当日45条被公开点名的条目如下，国别已按条目原文、官网域名与描述自述逐条校正。

马士基（Whitearmor，丹麦）是当日唯一具备全球系统性影响的一条。条目显示发现时间11月7日03:48 UTC、预估攻击日同为11月7日——零缓冲，索赎500万美元、限30天。它自报的数据包约100GB，来源是OCF／原LF Logistics的合同物流平台——也就是马士基并购进来的那块第三方履约业务。清单写得极其具体：29,297条司机记录、其中16,093条带明文口令；16,123个员工账号、含33个SUPER\_ADMIN；64,665份已签收的交付回单（合计21.4万份文档）；1,444万行库存、189,248张采购单、334,432份ASN；27,842条含手机号、邮箱与IMEI的设备日志。

这份清单说明攻击者非常清楚哪块业务最脆。合同物流是并购整合的产物：系统叠系统、账号跨域、司机是外包、回单是纸质扫描后上传。它不碰马士基的航运核心，专挑整合期的那一段——这是典型的“并购遗留系统”攻击面。对任何做过大并购的企业，这一条都值得当成案例读。

N0n的四条实名条目是当日信息密度最高的一组，而且性质变了。Staples条目给出单个日文件38.2万条单品毛利率记录、64,041个SKU的销量与营收、带IP与搜索词的顾客行为日志、客服聊天记录（里面粘着30条SSN和出生日期），状态已是“未付款、已公开”；Lampenwelt是8,100万条顾客真实输入的搜索词（还包含顾客误输进搜索框的邮箱）、20万SKU的成本与滚动营收、B2B金银白金三级净价；Infutor更极端——5.9亿行问卷答案、17亿行含姓名与出生年的消费人表、11亿行地址表、2.03亿行带明文邮箱与IP的州级交付文件；Higginbotham则是2013到2026年21.7万份保单与工作底稿、佣金与续保数据、客户推荐名册。

这四条放在一起看，卖的不是“谁”，是“怎么赚钱”。毛利率能反推定价策略与供应商账期；8,100万条搜索词能反推需求预测与选品逻辑；17亿行身份图谱是营销与骗贷的通用燃料；保单底稿能反推佣金结构与续保率。买家画像因此改变——不再是黑产下游，而是竞对、做空机构、私募尽调方。这是本系列第一次出现“经营情报”成规模上架。

Metaencryptor的七条里，真正重要的是那五家韩国企业。现代建设（现代集团工程板块）、大亚建设（核电与电力）、大原化学、又新系统（1984年创立的核电设备制造商），加一条消费电子广告数据。四家工业企业的共同点：都是韩国核电与重化工产业链上的节点。现代建设条目只暴露2个口令、25条cookie，数据量标注为“—”；这正是这类团伙的特征——先挂牌施压，数据量等谈判时再谈。

两条容易被忽略但分量不小的条目。巴西米纳斯吉拉斯州法院（Rhysida）条目全文只有机构名一句，没有数据说明——打司法机构不需要说服任何人，法院自己知道里面有什么；瑞士Treuhand & Immobilien Abt AG是信托与地产服务商，受托机构手里是别人的资产清单与受益人信息，泄露的第三方损失远大于自身。

还有一条异常值得记：Incransom给阿尔巴尼亚受害者挂的条目名是“1da9100e55aqf21eb651eNea”。这是本系列第一次出现完全不可读的条目名。它可能是自动化上传时的临时ID，也可能是刻意的去标识化——无论哪种，结果都一样：受害者连“这是不是我们”都无从自查。

三、行业维度分析

按逐条核实口径：零售与消费8起（17.8%）居首——六条N0n匿名编号（咖啡、家电、户外鞋服、运动休闲、服装、服饰集团）、Staples、Lampenwelt；未披露10起（22.2%）——Qilin九条空描述加Incransom哈希条目；制造与工业6起（13.3%）——门业、金属材料、核电设备、化工、粮食自动化、影院投影设备；金融保险4起（8.9%）——Pekin Insurance、Higginbotham、两条加拿大理财与财务顾问；科技与数据3起——Infutor、Otto Stops、智能电视广告数据；建筑与工程3起——现代建设、大亚建设、Schroers；教育2起；医疗与制药2起；媒体娱乐、交通物流、司法、信托地产、汽车经销、工程服务、法律服务各1起。

“零售8起居首”是假象，因为其中六条是同一个团伙的匿名预售条目。真正有信息量的对比是未披露10起占22.2%：Qilin九条全部只给“N/A”，连行业都不写。这意味着当日近四分之一的条目，除了“某公司在某国被某团伙挂了”之外什么都没说——挂牌站正在退化成一块公告板。对研究者是坏消息，对受害者却是好消息的反面：没有描述，就没有预警，只能等对方来谈。

制造6起里藏着今天最集中的一次产业打击：韩国核电与重化工。现代建设、大亚建设、大原化学、又新系统四家分属工程总包、电厂建设、化工材料、核电设备——它们不是同一条供应链上的上下游，而是同一个国家工业体系里的四个关键节点。Metaencryptor选这一组，说明它的目标清单是按“国家关键基础设施目录”拉出来的，不是按行业标签扫出来的。

金融保险4起连续两日稳定出现，且都是中介层而非承保层。Pekin Insurance是伊利诺伊州的互助保险集团，Higginbotham是德州大型独立保险经纪，另两条是加拿大理财规划与财务顾问。中介层的数据结构最危险：它同时握着客户身份、保单条款、佣金结构和续保节奏，一家经纪公司泄露等于几十家承保商的客户资料同时泄露。

法律服务当日只有1起（俄亥俄Benesch），与11月5日的4起、11月6日的3起相比明显回落。这个回落不是赛道降温，而是节奏切换——见第五章。

四、区域维度分析

校正后的区域分布：欧洲18起（40.0%，德国7、英国4、法国1、葡萄牙1、意大利1、西班牙1、瑞士1、丹麦1、阿尔巴尼亚1）；北美16起（35.6%，美国14、加拿大2）；亚太6起（13.3%，韩国5、新加坡1）；拉美3起（6.7%，巴西2、墨西哥1）；中东2起（4.4%，以色列1、土耳其1）。

这是本系列近一个月来欧洲第一次在总量和国别广度上同时压过北美——9个国家、18起，而且分散在七家团伙手里。对照10月31日那次“欧洲反超”（26起里19起来自Thegentlemen一家），今天的欧洲是结构性分布，不是单一团伙的一次投放。德国7起尤其值得看：Payload 4起全在德国（巴伐利亚汽车经销、管道修复、结构工程、诺伊斯IT集成），加Acondistec、Kahler Automation、Lampenwelt——德国中型企业正在被至少三家团伙同时开发。

北美16起里，美国14起的构成已经和前几周不同。过去美国占比高是因为N0n、Thegentlemen在这边批量补货；今天美国14起中N0n占9条（含7条匿名编号）、Metaencryptor 3条、Rhysida与Silentransomgroup各1条。匿名编号占比大，说明这批“美国份额”里有一半还是期货，未必最终都落在美国。

韩国的5起是当日区域维度最值得单独标记的一件事。一天之内从0跳到5，全部来自同一家团伙，覆盖工程总包、电厂、化工、核电设备四个节点。韩国在本系列此前的存在感很弱（11月3日7起曾由Obsoft与Orova带来），这次是第一次被单一团伙成组开发。结合Metaencryptor的累计画像（65起、11个国家、美国26、德国10），韩国原本只占6起，今天之后接近翻倍——这是一次明确的区域扩张。

旗标校正两处：Brauco与Otto Stops均无国旗，但描述自述为德国企业（Brauco做管道非开挖修复，Otto Stops是诺伊斯IT系统集成商、域名为stops.de），按德国计；若只取旗标，德国会被低估为5起（实为7起），欧洲占比也会从40.0%降到35.6%，与北美打平——“欧洲第一”这个结论就消失了。另：BOSH Engineering标新加坡，但“Private Limited”命名在南亚同样常见，属地保留站点口径、标注存疑。

五、攻击团伙分析（团伙分布）

11家团伙分45起，前三家合计31条（68.9%），集中度回到高位。但与10月31日那种“一家放50起”的尖峰不同，今天是三家不同节奏叠加：N0n是双轨出货（匿名预售＋实名现货），Qilin是扫描批次整批投放，Metaencryptor是一次定向的区域开发。

Whitearmor已经不能用“New Group”来描述了。站点至今给它挂着新面孔标签，但看它这一个月的动作：10月21日Whirlpool（惠而浦）、10月24日Hisense（海信）、10月25日JB Hunt、11月1日GoDaddy的AmplifAI实例、11月4日Unilever（联合利华）、11月7日Maersk（马士基）。六家全是世界级品牌，横跨家电、物流、快消、航运四个品类，平均攻击到挂牌仅1.2天。一家“新团伙”不可能有这个名单——要么它继承了某个老团伙的访问渠道，要么它的成员来自已经做过这些目标的人。这条线索比马士基这一单本身更值得追。

Silentransomgroup从塔尖回落到中型所，这个节奏说明价格锚已经立住了。11月5日它给Smith Gambrell公开标价27.25万美元，11月6日点名Wachtell（全球并购法律服务塔尖），11月7日只挂俄亥俄的Benesch。三天走完“标价—立锚—收割”三步：先用最贵的那家把整个赛道的心理价位抬上去，然后回去安静地打中型所。它不需要每天点名塔尖，塔尖只需要被点一次。

Metaencryptor是当日最值得警惕的一家。它2023年8月首发、累计仅65起，在本系列里长期属于“中等强度、稳定产出”。今天它一天放出7条，其中5条打韩国工业企业，等于把自己一个月的产能压进24小时。同类行为上一次出现在10月31日的Thegentlemen（一天50起）——“攒批集中释放”这件事已经从批量团伙扩散到定向团伙，说明它们的库存管理方式在趋同。

Qilin的10起证明它仍在按批次而非按天投放。11月6日0起、11月7日10起，9条空描述、跨8个国家地区、行业零重合（药企、公立学校、门业、货运软件、广告公司混杂）。这批条目之间没有任何逻辑关联，唯一共同点是“某次扫描命中”。这类团伙的量不可预测，也不该被当作生态活跃度的指标——它反映的是它什么时候按下上传键。

Payload的4起全在德国，而且它手上有本系列近两周第一个可归因的漏洞。站点记录它已利用CVE-2026-19118（GitHub Enterprise Server），累计92起、德国16起、瑞士8起，Babuk系代码、Windows与ESXi双平台。连续多日“零CVE”之后出现这一条，提醒一件事：漏洞不是消失了，是大部分团伙懒得写。

Incransom的哈希条目名是站内首次。阿尔巴尼亚受害者，名称“1da9100e55aqf21eb651eNea”、描述为空。对照它一贯的做法（11月3日两小时6条全美法律税务），这次更像自动化上传时没有回填名称，而不是刻意打码——但两种解释都指向同一件事：上传流程已经脚本化到没有人再看一眼。

六、攻击手法分析

今天最值得记的手法不是加密，是定价。Whitearmor给马士基的报价单里有三样东西同时出现：精确到条的资产清单、折算成EBITDA小时数的赎金、以及30天倒计时。这套组合的杀伤力在于它替受害者做好了成本收益分析——“500万美元≈4小时EBITDA”这句话，把安全团队三个月也讲不清的风险，变成CFO一眼能算的账。勒索话术已经从“威胁公开”进化到“替你写商业论证”。

第二个手法变化是“并购遗留系统”被当成专门靶点。马士基这条明确指向OCF／原LF Logistics的履约平台——并购进来的业务通常保有自己的账号体系、外包司机、纸质回单流程，与母公司的零信任架构不在同一水平线上。攻击者不打航运核心，打整合期的那块空白，这是过去两年私募与集团并购潮留下的系统性敞口。

N0n的手法从“取数”转向“读账”。四条实名条目的字段选择极有指向性：单品毛利率（定价与账期）、SKU级销量与营收（真实经营规模）、B2B三级净价（渠道政策）、保单佣金与续保（中介economics）、搜索词（需求预测）。这些字段不会出现在文件服务器的共享盘里，它们在BI报表、定价系统、客服后台和保险核心系统里。换句话说，它翻的是数据仓库和报表层，不是文件层。这也解释了为什么它能给出“38.2万条单日文件”这种粒度——那是每日跑批的产物。

Staples条目里的一个细节值得单独说：客服聊天记录中粘着30条SSN和出生日期。这不是攻击者找到的“敏感数据库”，是员工在服务过程中为了核对身份，把客户社保号直接打进聊天窗口。这类泄露在任何企业的DLP规则里都极难拦截（它是正常业务动作），但一旦客服平台被拖库，它就是最直接的身份证盗用素材。

Metaencryptor的手法偏“轻进入、重施压”。现代建设条目只显示2个口令、25条cookie（3条高危），数据量标注为“—”；大原化学连描述都没有。它不急着证明自己拿了多少，先占住位置。这与其说是技术能力，不如说是谈判策略：数据量留到对方联系时再报，避免过早暴露自己拿到了什么。

Rhysida打法院延续“零描述”风格。巴西米纳斯吉拉斯州法院条目全文只有机构名。打司法机构不需要列清单——法院自己清楚案卷里有什么，公众也清楚。配合瑞士受托机构的条目看，这类“沉默挂牌”专挑名誉敏感主体，描述越少，压力越大。

七、攻击动机分析

•︎ Whitearmor 打马士基，动机是把赎金锚定到财务报表上。“500万美元≈4小时EBITDA”不是随口一说，它是要让董事会在听到数字的第一秒就完成比较——四个小时的利润换一次不上头条，几乎必然通过。对一家营收555亿美元的公司，付钱的心理门槛远低于修系统的组织成本，这才是这条话术真正的作用。

•︎ Metaencryptor 打韩国五家工业企业，动机是国家级产业链定点。现代建设、大亚建设、大原化学、又新系统分属工程总包、电厂建设、化工材料、核电设备——四家合起来就是一条完整的核电与重化工建设链。同日上架不是巧合，这是在向同一个买家群体（韩国产业界与监管方）一次性展示覆盖能力。

•︎ N0n 改卖经营数据，动机是买家结构变了。毛利率、搜索词、身份图谱、保单底稿——这些材料对诈骗团伙没用，对竞对与做空机构才有用。当一家勒索团伙的货架开始出现“可计算经营指标”，说明它的下游已经从黑产扩展到合法市场的灰色需求，成交价与成交率都会更高。

•︎ Silentransomgroup 回落打中型所，动机是收割已立住的价格锚。11月5日标价27.25万、11月6日点名Wachtell、11月7日安静打俄亥俄中型所——三步走完，塔尖只用点一次。后续中型所的谈判参照系已经被改写。\\

•︎ Payload 连打四家德国中型企业，动机是低成本高确定性。汽车经销、管道修复、结构工程、IT集成——都是几十到几百人、有ERP、有备份、没有专职安全团队的公司。配合已利用的CVE-2026-19118，它的模式是“已知漏洞＋批量扫描＋按国别收割”，德国是其主市场（92起里16起）。

•︎ Rhysida 与 Incransom 打司法与冷门属地，动机是低对抗性。法院与阿尔巴尼亚的小机构既没有谈判团队，也没有公关预算，更没有能力做取证反制；对它们而言，“挂牌”本身就是终局，不需要复杂话术。\\

•︎ Qilin 一次性放十条空描述，动机只是清库存。九条N/A、八国散射、行业零关联——没有任何定向意图，扫描器命中谁就挂谁。这类条目对趋势判断没有价值，但它持续拉高总量，是“日增数字”失真的主要来源之一。

八、攻击趋势分析

•︎ 勒索话术完成第三次升级：从“公开数据”到“财务折算”。第一阶段是威胁曝光，第二阶段是贴营收当锚点（10月31日Thegentlemen把四家企业的营收写进标题），今天Whitearmor直接给出“赎金相当于几小时EBITDA”。三个阶段的共同方向是把决策压力从IT部门转移到财务与董事会——谁掌握钱，谁就被迫做决定。

•︎ “并购遗留系统”将成为下一阶段的主要攻击面。马士基这次被打的是收购来的LF Logistics履约平台，不是母公司的核心系统。过去两年大量并购案留下的账号孤岛、外包人员、纸质流程，构成了一个规模庞大且无人统一治理的中间层；接下来会看到更多“母公司没事、被收购的那块出事”的案例。

•︎ 经营情报成规模上架，是本周最重要的供给侧变化。N0n一天拿出毛利率、搜索词、身份图谱、保单底稿四类“可计算”资产，标志着勒索数据市场出现了新的买家层：竞对、做空机构、尽调方。这意味着企业的数据资产盘点必须增加一个维度——“这份数据被竞争对手拿到，能推算出什么”，而不只是“会不会被公开”。

•︎ 韩国的出现说明区域扩张仍在继续，且方式是“按产业链打”。Metaencryptor把历史6起韩国战绩一天翻近一倍，选的是核电与重化工这条链。此前中东（11月5日的3起）、海湾会员体系（11月2日）也是这样成组的——团伙开拓新市场的方式不是均匀铺量，而是找一条当地的关键产业链，一次打完。

•︎ 欧洲首次出现“结构性反超北美”：9国18起、分散在7家团伙手里。这与10月31日那种“一家团伙造出欧洲第一”完全不同。驱动因素是德国中型企业被至少三家团伙同时开发——德国制造的中小企业群体（Mittelstand）具备“有数据、有现金、无安全团队”的三个特征，正在成为欧洲区的主要供给源。

•︎ 漏洞回归：CVE-2026-19118（GitHub Enterprise Server）被Payload实际利用。连续两周“零CVE”的记录被打断。这不代表漏洞利用在回潮，而是提醒：本系列的“零CVE”是情报缺失，不是事实缺失——多数团伙不给初始访问向量，不等于它们没走漏洞。

•︎ 挂牌站的描述质量在系统性退化：22.2%的条目没有任何行业与数据说明。Qilin九条、Incransom一条。当挂牌变成“只挂名字”，外部情报的预警能力进一步下降；防守方唯一还能依赖的，是自己的日志与基线。

九、防守方建议

结合当日45起的结构特征，给出六条可立即落地的动作。第一条针对今天分量最重的那一单，第二条针对最新出现的买家层。

•︎ 把并购来的业务系统当成独立战区，不要假设它会自动被母公司的安全架构覆盖。马士基这次被打的是原LF Logistics的履约平台：外包司机账号、跨域单点登录、纸质回单扫描件、第三方仓库的接口。具体动作：并购完成后100天内完成资产与账号清点、把外包与合同工账号纳入统一身份治理并强制多因素认证、清理历史遗留的本地管理员、对回单与运单影像库做访问审计。同时立刻排查：有多少司机或外包账号仍在用明文口令，存量有多少。

•︎ 重新评估“数据被谁拿走”而不只是“数据会不会泄露”。按今天N0n的四类商品做一次映射：单品成本与毛利、站内搜索词、客户身份图谱、合同与佣金底稿——分别问一句“竞争对手拿到这些，能推算出我们的什么”。能反推定价、选品、渠道政策的字段，应当按照核心商业秘密而不是普通客户信息来定级，加密、脱敏与导出审计的强度要对齐。

•︎ 客服与坐席平台单独做敏感信息检测。Staples的30条SSN不是从数据库泄露的，是员工在聊天窗口里手动粘贴的。动作：对客服系统的聊天与工单内容做实时敏感信息识别（身份证、社保号、银行卡、保单号），命中即阻断并要求改用脱敏核身流程； 同时对客服平台做独立的导出审计与账号回收。

•︎ 财务与定价系统的批量导出必须逐项开告警。N0n能拿到“38.2万条单日文件”和“20万SKU成本”，说明它读到了每日跑批的输出。动作：对BI报表订阅、数据仓库导出、定价与成本表的批量查询设阈值告警，重点关注非工作时段、非本部门账号、以及首次访问历史表的行为。

•︎ 供应链与承运商接口做凭据普查。马士基条目里最刺眼的是16,093条明文口令与33个超级管理员账号。动作：对TMS／WMS／承运商门户做一次全量账号普查，统计明文存储、共享账号、长期未改密、超管权限四类； 把承运商与货代的接口从“账号密码”迁移到证书或短期令牌，并给超管账号加双人审批与操作留痕。

•︎ 把“赎金折算成经营指标”写进应急预案。对手已经在用EBITDA小时数做说服工作，防守方不能还停留在“我们要不要付”的伦理讨论上。动作：提前准备一页纸的决策框架——最坏情形下停业一天的损失、客户流失与诉讼的预估区间、恢复时间与保费的对应关系；让董事会在平静时期就把判断标准定下来，而不是在倒计时里被对方定价。