勒索事件日报：2026年-11月-04日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月5日 20:21
福建

去阅读

导读

11月4日（UTC）新增勒索受害者69起、18个团伙，创10月31日以来单日新高；新面孔Medusalocker以18起邮箱库挂牌居首，联合利华、洲际酒店、西格绍尔同日被点名。

一、勒索数据概述

2026年11月4日（周三，UTC 自然日），全球勒索软件泄露站新增受害者条目69起，涉及18个攻击团伙，环比增长五成——11月3日是46起。这是自10月31日84起尖峰之后的单日最高值。

口径先交代清楚。本文数据截止2026年11月5日00:00 UTC，两次独立抓取（不同 query 参数）交叉验证，面板计数与逐条枚举均为69起，完全吻合。该站存在事后回填，单日绝对值以次日复核为准。当日旗标缺失或名称打码无法判定属地的共7条，均已逐条回查原文与描述校正；涉及中国主体2家，已全部脱敏。

把这一天放回近两周序列：10月28日24、10月29日30、10月30日42、10月31日84、11月1日16、11月2日23、11月3日46、11月4日69。剔除10月31日单团伙清仓尖峰，69起是三周内的新高。但结构比总量更说明问题：Medusalocker 18条、BrainCipher 11条、Safepay 8条，三家合计37条占53.6%——日总量新高的成色要打对折看，真实零散命中约32起。

当日三条结构信号值得放在最前面。其一，新面孔 Medusalocker 首日挂牌18条即登顶，且清一色是“邮箱数据库”形态——这不是传统加密勒索的挂法，是信息窃取数据的直接变现。其二，品牌级目标密度罕见：联合利华、洲际酒店集团IHG、枪械制造商SIG SAUER、营收13亿美元的Kontron北美分支同日被点名——头部品牌正从偶发目标变成常规武器。其三，IHG条目的描述直接嘲讽其LDAP绑定密码是“123”——一家全球酒店集团的凭据治理失败被公开处刑，这比任何统计数据都直观。

二、被攻击单位分析（受害者清单）

当日69条被公开点名的条目如下，国别已按条目原文、官网域名与描述自述逐条校正。涉及中国主体2家（电梯制造、电子元器件）。

分量最重的三条，代表当日三种完全不同的信号。

联合利华（Whitearmor，英国）是当日单体分量最重的目标——总部伦敦的跨国快消巨头，旗下超400个品牌，日化食品供应链的超级节点。更值得警惕的是挂牌方：Whitearmor 前一天刚在同一个挂牌站发“出售初始访问”的广告，今天就直接点名联合利华——从卖入口到打顶级品牌，角色一天之内完成升级。无论数据真伪，头部品牌被点名这件事本身，已经在给这家挂牌站引流抬价。

IHG洲际酒店集团（Byod，英国）是当日最刺眼的技术失败案例——攻击日11月3日，描述毫不客气地嘲讽其LDAP绑定密码是“123”，还补了一句“轮换密码救不了你”。IHG在2022年就遭遇过一次勒索软件攻击导致全球订房系统瘫痪，四年之后再次上榜——重复受害加上弱口令实锤，说明当年的整改没有覆盖到目录服务这一层。一个“123”抹掉的安全投入，比任何渗透测试报告都有说服力。

El Cajon（Rhysida，美国）是当日政府条目里风险敞口最直接的——加州圣迭戈东县市政，描述明示拿到的是“警察+911+生产SQL”。公共安全系统的生产数据库进入勒索货架，影响的评估对象要扩展到整个县的应急响应链路。同团伙另一条是工伤辩护律所 Juge, Napolitano——Rhysida 连续多周保持“一城一所”的高价值定点节奏。

Medusalocker 的邮箱库批次需要单独拆开。18条里多数带“N emails extracted”标记：msn.com 61,167封、印度手套商1,029封、哥伦比亚税务海关总局（DIAN）339封。被标价的不是加密后的数据，是现成的通讯录——下游买家大概率是钓鱼与BEC团伙，拿到的是“谁认识谁、怎么联系、用什么口吻”的完整社交图谱。把税务机关、跨国域名、南非快递、加拿大放射诊所装进同一个货架，说明它的进货渠道是横向扫出来的邮箱库，不是逐个入侵的成果。

其余条目里，Safepay 的8条高度定向照护经济：德国养老照护、精神专科、运动学校、足踝诊所，加上比利时家政服务与澳洲养老机构——预算最紧、停机代价最高的一群机构。BrainCipher 的11条全部是美加中小医疗、牙科与金融站点，与它2024年攻击印尼国家数据中心的“大目标”路线相比，明显转向了低防守预算的规模化收割。SIG SAUER（Scarlettgroup）与Kontron北美（Global Secret Group）两条制造业头部条目，加上ASLAN TEKSTİL的3.27GB纺织数据包与Doommageddon的到期倒计时，构成了当日货架的“重货区”。

三、行业维度分析

按逐条核实口径：制造业与工业16起（23.2%）继续居首——电梯、电池、塑料、纺织、包装、砂硅、水质仪器、牙科产品、航空航天表面处理、自动化夹持、枪械、电子元器件；医疗健康与养老照护10起（14.5%）；专业服务（法律/会计/金融/理赔）10起（14.5%），其中律所3家；零售与消费7起（10.1%）；社会服务与教育体育3起；科技与数据服务4起；政府与非营利3起；物流1起；能源1起；品牌酒店与快消集团2起；其余为空描述或匿名条目12起。

制造业连续多日占据榜首，且画像高度稳定：有年头的厂房、区域供应链里的隐形冠军、IT团队个位数。当日的电梯厂、电池厂、纺织厂与10月中旬的注塑厂、钢结构厂几乎是同一批面孔。值得单独点名的是SIG SAUER——枪械制造商进入勒索货架，失陷数据的敏感度不在商业机密层面，而在客户与经销商名册、生产与合规记录层面，这类标的对特定买家有溢价。

医疗与养老照护10起是当日最值得管理层盯的结构性信号：它被两个团伙从两端同时挤压。Safepay 打的是德语区照护机构——养老、精神科、运动学校、足踝诊所、家政服务，全部是“停机即照护中断”的软目标；BrainCipher 打的是美国中小诊所与康复网络。医疗条目正从“医院”下沉到“照护机构、诊所、药房”这一最软的一层——这一层的共同点是数据密度高（病历+社保+支付）、安全预算低、组织抗压力弱。

专业服务10起里律所3家，分属3个团伙（Rhysida、Aoqin、Medusalocker条目）——律所赛道经过10月Silentransomgroup连续围猎、11月3日三团伙同日进场之后，已经完全常态化。会计所2家（hhjcpa、Krishnan）与理赔、抵押贷款、保险经纪各1条，专业服务整体的风险画像没有变化：客户数据即杠杆，失陷一次传导一片。

四、区域维度分析

校正后的区域分布：北美34起（49.3%，其中美国29、加拿大5）；欧洲16起（23.2%，德国5、英国5、瑞士2、法/西/比/斯洛文尼亚各1）；亚太5起（7.2%，中国2、印尼、印度、澳大利亚各1）；拉美4起（5.8%，巴西、哥伦比亚、智利、阿根廷各1）；非洲2起（摩洛哥、南非）；中东1起（土耳其）；属地未标注7起（10.1%）。

美国29起要拆开看：BrainCipher 8条、Dark Project 3条、N0n 4条匿名编号，三家货架合计15条——真实零散命中约14条。美国占比接近一半的表象下，一半是批量挂牌的进货偏好。连续两周，“美国份额”的主导因素都是货架行为而非本土攻击密度，这个拆法以后每天都要做。

欧洲16起的核心是德国5起，其中4起来自Safepay一家对德语区照护经济的定向围猎，1起是N0n编号体系首次落进德国（#131灯具零售）。英国5起里有联合利华与IHG两个全球品牌——欧洲当日的“重货”全部在英国，而德国的“量”全部来自软目标照护机构。两种打法同框出现：要么打品牌赚声量，要么打照护机构赚付款率。

旗标核对的修正照例交代：centratamagroup.com 标巴西旗，描述自述为印尼电信塔商PT Centratama，按印尼计；cadorath.com 标德国旗，实际为加拿大温尼伯的航空航天表面处理商，按加拿大计。加上此前多日的同类案例，该站国别旗标的错误率已稳定在3%—5%，区域分析必须逐条回原文，这一条纪律继续有效。当日中国主体2家（电梯制造、电子元器件），均已脱敏。

五、攻击团伙分析（团伙分布）

18家团伙分69起，前三家合计37条（53.6%）——集中度回到了10月31日清仓潮的水平，但这次不是一家独大，而是三家各开各的货架：Medusalocker 清邮箱库、BrainCipher 清美加小站、Safepay 清德语区照护。判断团伙真实活跃度，继续看攻击日跨度而不是当日条数。

Medusalocker 是当日最异常的信号。新面孔首日18条登顶，条目形态高度统一：“Organization with N emails extracted”——61,167封、1,029封、339封、2封，精确到个位数。这不是“我加密了你的数据”，是“你们全公司的通讯录在我手里，按条数卖”。邮箱库的直接买家是钓鱼与BEC团伙，变现不需要受害者配合——谈判对象可能根本不是被挂出来的企业，而是下游数据买家。这与N0n的匿名编号是同一种商业模型：挂牌站已经从勒索工具演化成了数据交易所。

Aoqin 是当日第二个新面孔，首日四连发横跨斯洛文尼亚、智利、美国、中国四国——橡胶件、石油、律所、电子元器件，看不出行业逻辑，是典型的“先铺货再找买家”试水节奏。值得单独记录：Aoqin这个名字与2024年被多家厂商报告的Aoqin APT同名——那个组织传统目标是东南亚电信，与Nutcore蠕虫关联。是否同一主体无法确证，但一个APT级名字出现在勒索挂牌站，本身就该进观察名单；如果确实是APT组织下场做勒索变现，性质比多一个勒索团伙严重得多。

BrainCipher 的转向值得对比记忆。2024年6月它因攻击印尼国家数据中心、瘫痪两百余家政府机构服务而一战成名；本次11条全部是美加中小医疗、牙科与金融站点，零描述、无数据量标注，数小时内集中上架。从国家级目标转向“低防守预算、高数据密度”的小标的批量收割，说明它在用规模化弥补单笔金额——这个模式一旦跑通，美国中小诊所的威胁模型就要整体上调。

Safepay 的选靶逻辑已经连续验证。8条里5条是照护与社会服务机构，全部落在德语区与比利时、澳洲——照护机构停机即照护中断，舆论与监管压力会替攻击者完成谈判施压，这是“制度性放大付款意愿”的目标类型。Pear 两条攻击日同为11月2日（潜伏2天）、Ransomhouse 一条潜伏25天、Doommageddon 的土耳其纺织条目当日到期——潜伏期从1天到25天继续两极分布，“进门就挂”与“读完再挂”并存。

Whitearmor 的角色升级与站点的“新团伙”标签失真同框出现。它前一天发“出售初始访问”广告、今天点名联合利华，两天完成从入口经纪到勒索方的亮相——无论联合利华条目数据真伪，这种先造流量再挂牌的打法，本质是挂牌站的运营行为。Aoqin等5家被站点挂“New Group”标，对照此前Scarlettgroup、Hyflock的案例，该标签衡量的是收录进度不是团伙成色，判别价值继续归零。

六、攻击手法分析

当日没有新的CVE或初始访问向量可归因，手法层面的信号集中在“凭据”一个词上。IHG条目公开嘲讽LDAP绑定密码“123”，并补刀“轮换也没用”——绑定账号的弱口令是目录服务里最容易被忽视的一层：它不登录、不触发MFA、长期静默，却是横向移动的第一张门票。

Medusalocker 的邮箱库条目，手法上指向信息窃取生态而非加密载荷。精确到个位数的邮件提取量、横跨十余国的杂乱目标池、无加密无倒计时——最合理的解释是infostealer击落的凭据与邮件数据被批量接进了挂牌变现管道。此前这个生态里，窃密数据要么自用要么在地下论坛零售；今天它有了公开明码标价的橱窗。“邮箱条数”成为挂牌定价单位，是勒索与信息窃取两大生态正式合流的标志。

Rhysida 拿到El Cajon的“警察+911+生产SQL”说明其内网已经横到生产数据库层——市政生产库与警务系统同域，暴露面管理长期欠账。与律所条目合看，Rhysida的取数偏好非常明确：结构化数据库（SQL导出）与案件类文档，都是可以直接定价的品类。

带攻击日的条目继续偏少（69条里仅6条），潜伏期样本：TFG London攻击日10月10日（潜伏25天）、gWorks与Palm Vascular同为11月2日（潜伏2天）、IHG为11月3日（潜伏1天）。Medusalocker与BrainCipher的批次在数小时内集中上架，发布管道特征与此前N0n、Obsoft一致——入侵与挂牌解耦，中间隔着不定长的库存期。防守方用挂牌日反推入侵日，系统性滞后至少一到三周。

七、攻击动机分析

•︎ Medusalocker 的邮箱库挂牌，动机是“卖数据不卖解密”。谈判对象是下游钓鱼与BEC买家，不是受害者本人——61,167封邮箱按条数计价，通讯录本身就是硬通货。它的出现动机最纯粹：把窃密生态的库存挂到流量最大的橱窗上变现。

•︎ Safepay 定向照护经济，动机是“制度性放大付款意愿”。照护机构停机即照护中断，监管与舆论压力会替攻击者完成施压——打预算最紧的机构，赚的却可能是最痛快的钱，这个悖论正是它连续多日只打这一类目标的原因。

•︎ BrainCipher 批量收割美加中小医疗，动机是“用规模换单笔”。2024年的国家级目标带来的是围剿，中小诊所带来的是现金流——从名利场退到流水线，是团伙生命周期里最理性的那一步。

•︎ 品牌点名（联合利华、IHG、SIG SAUER、Kontron），动机是“舆情杠杆最大化”。头部品牌的每一次被挂名都自带流量——Whitearmor前一天卖初始访问广告、今天点名联合利华，先造流量再抬价，挂牌站运营逻辑已经压过单纯的勒索逻辑。

•︎ Byod 嘲讽IHG的“123”密码，动机是“羞辱式施压”。把受害者的技术失败公开写成段子，是在给谈判桌上的对手社死——对IHG这种体量的品牌，声誉损失比数据损失更贵，这条描述本身就是谈判筹码。

•︎ Rhysida 一城一所定点取数，动机是“高价值结构化数据的精确定价”。市政生产SQL与律所案件材料都是可以直接整库出售的品类——它不追量，追的是每一条都能卖出价。

•︎ N0n 编号推进至#128并首次落子德国，动机是“货架补货+市场扩容”。编号体系跨出美国说明欧洲买家需求已被验证——匿名编号挂的是行业标签（保险经纪、灯具零售、医药数据分析），本质是给买家看的产品目录。

八、攻击趋势分析

•︎ 日总量新高（69起）但批量占比53.6%，“日总量”作为生态指标继续失真。真实零散命中约32起，与前几日基本持平——冷热判断继续看两个数：零散命中数与批量挂牌占比；今天的“新高”是货架行为，不是攻击浪潮。

•︎ 头部品牌被点名从偶发变成常规武器。联合利华、IHG、SIG SAUER、Kontron同日上榜，此前一周还有KFC、MoneyGram、洲际酒店等——品牌点名自带流量与谈判杠杆，且IHG 2022年受害后2026年再次上榜，说明“重复受害”正在头部企业身上兑现：整改不彻底的头部企业会被二次开发。

•︎ 信息窃取与勒索挂牌正式合流。Medusalocker把infostealer产出直接挂上公开橱窗，“邮箱条数”成为定价单位——防守方威胁模型里“窃密”与“勒索”从此要合并建模：一封被窃取的邮箱既是钓鱼的弹药，也可能是明天的挂牌商品。

•︎ 德语区照护经济成为定向猎场。Safepay连续多日只打这一类机构，德国5起里4起来自它——照护机构、社会服务组织的威胁建模普遍缺失，这一层软目标会继续被系统性开发，直到行业防护基线补齐。

•︎ 新面孔节奏加快、名字半衰期缩短。昨日Obsoft、PixelLeaks首秀，今日Medusalocker、Aoqin登场——挂牌站的进入门槛在降低，跟踪“团伙名”的价值在下降，跟踪“条目形态与目标类型”的价值在上升。

•︎ Aoqin APT同名字样值得持续观察。若确为APT组织下场勒索变现，国家级工具链对中小企业的碾压将改变整个赛道的攻防成本曲线——单日4条试水之后，盯它的第二次出手比盯它的名字更重要。

九、防守方建议

结合当日69起的结构特征，给出六条可立即落地的动作。前两条针对当日实锤暴露的弱点，不做就等于把门焊死在门框上。

•︎ 本周内完成目录服务与绑定账号专项排查。IHG的“123”是LDAP绑定账号的密码——这类账号不登录、不触发MFA、长期静默。三步走：全量清点服务绑定凭据、强制复杂度与轮换策略、对异常绑定与枚举行为布告警。轮换要连绑定配置一起改，否则就是IHG条目里那句“轮换也救不了你”。

•︎ 把“邮箱条数”当成暴露面指标来治理。Medusalocker给邮箱库定了价——收紧通讯录与目录的批量导出权限、限制邮箱API的应用授权范围、对异常批量拉取行为设阈值告警。被提取6万封邮件与被提取2封，在防守日志里的差别不该只体现在攻击者的描述里。

•︎ 照护与社会服务机构做底线三件套：离线备份、全域MFA、员工钓鱼演练。Safepay的目标画像就是没做这三件事的机构——预算有限时优先级不要给到高级设备，先给到这三件成本最低、对这类团伙最致命的基础项。

•︎ 生产数据库与警务/政务系统做网络隔离复核。El Cajon的教训是生产SQL与911系统同域可达——生产网最小暴露、数据库账号最小权限、敏感库不与管理面同权限域；市政单位还应评估“哪些系统失陷会传导到公共安全”。

•︎ 头部品牌准备“被点名预案”。从挂牌到舆情发酵只有小时级——提前备好声明模板、客户通知路径、披露口径与决策链，把响应SLA从“天”压到“小时”。被点过名的企业（含2022年后）应复盘当年整改是否覆盖目录服务与凭据治理。

•︎ 持续监控自家数据在挂牌站的流通。把“域名被提及”“邮箱域名出现在窃密数据”“管理层邮箱是否在泄露库”纳入月度体检——今天被Medusalocker标价的邮箱库，源头多数是几个月前就被击落的凭据；被挂牌的企业，在入口层面早就被标过价。