勒索事件日报：2026年-11月-09日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月10日 14:54
福建

去阅读

导读

11月9日新增100起、21个团伙，双双刷新本系列单日纪录。N0n一家贡献67起（含64条匿名连号）；BYOD转向点名得州卫生部门与范德堡大学；香港4起、3条实名已脱敏。

一、勒索数据概述

2026年11月9日（周一，UTC自然日），全球勒索软件泄露站新增受害者条目100起，涉及21个攻击团伙——单日总量与团伙数双双刷新本系列纪录（此前峰值为11月4日的69起、17团伙），较周日的19起暴涨426%。

统计口径为11月9日（UTC自然日）新发现条目，两轮独立抓取（不同query参数）交叉验证，面板计数100与逐条枚举100完全吻合。当日中国香港主体4条（3条实名已脱敏、1条匿名编号），无中国内地、台湾及澳门主体。

放回序列：11月4日69、11月5日51、11月6日27、11月7日45、11月8日19、11月9日100。先拆结构再下结论：N0n一家投放67条、占全天67%，其中64条是编号连续的匿名条目（Company #148–#211）——这不是全天100家机构被攻破，而是一家团伙做了一次批量入库。剔除这64条匿名挂牌后，当日\"可辨识受害\"约33条，真实水位仍处高位，但与\"翻四倍\"的表面数字是两回事。

需要单独给这64条匿名条目定性：它们不是噪音，是预告。此前已多次观察到N0n的匿名条目在倒计时到期后逐批转为实名——间隔约1–2天。今日的#148–#211就是未来两天的实名名单预发布，且匿名条目自带国别旗标，等于下一波受害者的地理分布已经提前可见（美国约40、加拿大11为主）。对本系列而言，今天既是峰值日，也是一次罕见的预警窗口。

另一个纪录同样值得警惕：21家团伙同日出场，其中至少5家是新面孔（Iah6477、Aoqin、PixelLeaks、HYFLOCK、everstake，站点口径近10天新增6组）。放量不只来自老牌厂商的产能，还来自持续涌入的新供给方——进入门槛还在降。

二、被攻击单位分析（受害者清单）

当日100条中，实名可辨识条目33条、非典型条目3条（团伙公告、疑似黑客行动主义泄露、游戏数据项目）、匿名条目64条。清单如下，中国香港主体已脱敏。

分量最重的两条是N0n点名的Vertex Pharmaceuticals与Expedia Group——美国两家NASDAQ上市巨头同日上榜。但要先把\"被点名\"与\"被攻破\"分开：Vertex条目的泄露物是处方医生识别清单（prescriber identification list）——这类数据的持有方通常是分销合作方、市场分析机构或行业协会，若属实，更像供应链/第三方侧的失陷，而非总部被破；Expedia条目零描述。N0n当天同时投放64条匿名条目，此时夹带两条大牌实名，\"蹭名抬价\"与\"真实泄露\"两种解释都成立，唯一可靠的裁决方式是等公司或监管的公开回应。

BYOD的火力升级是当日最值得防守方关注的动向。一天前它还在发开业广告，今天直接点名得克萨斯州卫生与公共服务委员会（Texas HHSC，州级卫生主管部门）与范德堡大学。政府机构加私立名校，完全不符合勒索变现的最优目标画像，却完全符合\"招商期\"团伙的宣传需求——它在用高知名度目标给自己立招牌。对被点名机构而言，处理方式与普通挂牌不同：公共部门没有\"沉默结案\"选项，必须在披露与核查之间快速抉择。

Scarlettgroup挂出的rrh.org值得单独核实。rrh.org是Rochester Regional Health，纽约州上州的区域医疗系统，旗下多家医院与诊所。医疗系统被点名意味着潜在的患者数据与HIPAA后果——但该条目同样零描述，在独立信源确认前按\"待核实高敏条目\"处理。

krybit的5条域名挂牌把香港推到了单日4起（含N0n匿名#164）——本系列香港单日最高。其中两条实名主体（中资背景综合集团、亚洲餐饮连锁）已脱敏，另涉及荷兰、新加坡、菲律宾与泰国。多家团伙（krybit、AuditTeam、N0n）同日各有港区条目，这不是巧合级的现象，港区企业应把本周当作一轮密集点名期。

AuditTeam的4条是一次典型的\"攒批慢挂\"。攻击日全部标注为10月31日、11月9日才集中挂牌，潜伏9天——与Akira式的\"隔日挂牌\"短周期是两个极端。慢周期意味着受害方其实有近一周的自查窗口，但绝大多数机构不会主动用。四条横跨荷兰、新加坡、香港、菲律宾，同为域名式挂牌、同为ICT/信托类服务方。

Orova打IE & E Industries潜伏仅1天（11月8日攻击、11月9日挂牌），延续其\"当日攻、次日挂\"的节奏；Wilentz, Goldman & Spitzer是新泽西近百年老牌律所，被SilentRansomGroup点名——律所手里的并购文件与客户诉讼材料是勒索谈判的天然筹码。安全行业自身被点名也出现了：新团伙Aoqin挂牌安防企业Fortox Security Group——卖锁的被人撬了门，无论真假，都是团伙在向市场喊话。

三、行业维度分析

按逐条核实口径（33条实名可辨识条目，匿名64条无行业信息不计入）：医疗健康5起（15.2%）——生物医药巨头、医疗数据合规公司、纽约区域医疗系统、得州卫生主管部门（计政府口径外另算）、私立学校暂计教育；政府/公共部门2起（6.1%）；专业服务/法律3起（9.1%）；制造3起（9.1%）——钢结构、电子制造、电子科技；地产3起（9.1%）；汽车经销2起（6.1%）；科技/数据服务3起（9.1%）；能源1起、信托金融2起、传媒研究1起、安防1起、餐饮1起；零描述/无法归类6起（18.2%）。

医疗健康链条从\"终端\"向\"两侧\"扩展。此前医疗条目集中在诊所与检验实验室（终端服务方），今天点名的是制药商（Vertex）、医疗数据公司（159 Solutions）、区域医疗系统（rrh.org）、州卫生主管部门（Texas HHSC）——研发侧、数据侧、监管侧同日全部出现在挂牌站上。这不是四家机构恰好同时出事，而是医疗数据的整条价值链都在被团伙按图索骥。医疗板块连续多日居行业首位后，今天首次出现\"链条式\"点名结构。

专业服务里的律所条目最危险。Wilentz, Goldman & Spitzer近百年历史、主营诉讼与公司法务——律所泄露的爆炸半径从来不是律所自己，是它代理的每一个在办案件。勒索方拿到的并购协议、诉状草稿与客户通讯，既可对律所要价，也可对案件对手方二次售卖。与此前法律税务事务所被批量点名的模式一致：专业服务机构是数据密度最高、安全水位最不匹配的一类目标。

64条匿名条目没有行业信息，这本身就是当日行业口径的最大缺口。三分之一以上的\"新增\"无法归入任何行业——按既往规律它们将在未来两天转实名，届时行业分布会出现一次结构性回填，今天任何基于100起的行业占比都要打上这个折扣来读。

四、区域维度分析

按旗标口径（含匿名条目，100起）：北美约63起（63%）——美国约52、加拿大11；亚太约8起（8%）——香港4、泰国2、韩国1、新加坡1；欧洲约7起（7%）——荷兰、波兰、英国2、法国、意大利、丹麦各1；中东2起（科威特、沙特）；非洲约4起（南非2、利比亚、喀麦隆）；未标注/无旗标约16起。

美国52%是本系列单日最高占比，但驱动力是N0n的投放地而非攻击地。64条匿名条目里约40条挂美国旗、11条挂加拿大旗——N0n本轮批量入库的标的就是北美市场，这与它此前数轮投放（澳洲诊所、欧洲中小企业）的地域重心完全不同。北美中小机构在未来两天被实名点名的概率显著高于其他区域——这64条匿名旗标就是一张风险地图。

加拿大11起全部来自N0n匿名条目，同样是单日纪录。此前加拿大日均1–2起，今天的11起意味着N0n手里攒着一批加国标的。对加拿大方向的防守团队，本周应把泄露站监控频率提到日检。

香港4起值得单列：三家不同团伙（krybit、AuditTeam、N0n）同日在港区各有条目。单一团伙的区域批次是投放行为；多家团伙同日命中同一市场，通常说明该市场的暴露面信息已在多个渠道流转。港区的中资背景企业与金融机构应视为本轮点名的高风险组。

欧洲7起、约7%，延续低位。与11月7日欧洲18起（40%）的结构性反差继续印证此前的判断：欧洲供给来自德国中型企业被按批次开发，投放是脉冲式的——11月9日恰好是脉冲间歇。欧洲团队不应因单日数字低而下调水位判断。

五、攻击团伙分析（团伙分布）

21家分100条，但集中度极高：N0n一家占67%，前三家（N0n、krybit、AuditTeam）合计76条（76%）。这个结构与尖峰日（一家攒批释放）不同——今天是一家超级投放加一批长尾各自出工的复合形态：N0n的67条是批量入库，krybit的5条与AuditTeam的4条是攒批挂牌，其余18家各1–2条是日常底噪。

N0n的单日67起刷新了本系列的单团伙纪录（此前为medusalocker的18起）。更值得注意的是形态：64条连号匿名+3条大牌实名同步上架。匿名连号说明它维护着一条\"入库—倒计时—实名\"的流水线，批量大说明其上游供给（初始访问或数据收购）出现了放量；同时夹带Vertex与Expedia两个大牌，无论真假，都在为这条流水线抬声势。N0n已经从\"高产的勒索团伙\"演化成\"挂牌平台的做市商\"——它的条目节奏本身就是市场信号。

BYOD完成了从广告到点名的转身，且第一枪打的是政府与名校。此前它点名IHG、密歇根州立大学、新墨西哥大学，昨天发开业广告，今天直接上得州HHSC与范德堡大学。高知名度、低变现可能的目标选择，说明它当前的全部诉求是建立\"敢打硬目标\"的名声——这类团伙的真实威胁不在单点变现，而在其后续为证明实力而发起的定向攻击。

AuditTeam是慢周期攒批的代表。四条攻击日统一为10-31、潜伏9天，跨荷兰/新加坡/香港/菲律宾四地同步挂牌。攒批的意义在于让受害方的关联排查失效——单条出现时企业还能联想到同业事件，四地四行业同时出现时，横向信号被淹没。对付攒批团伙，唯一有效的对策是按攻击日期而不是挂牌日期做自查。

新面孔当日至少5家（Iah6477、Aoqin、PixelLeaks、HYFLOCK、everstake），且出清一色是零描述或公告式挂牌。Aoqin一上来就同时挂牌汽车经销商与安防企业；HYFLOCK的喀麦隆政府军泄露更像黑客行动主义混进了勒索站；PixelLeaks干脆只发了一条\"Published\"。新团伙的入场面目越来越潦草，但潦草不等于无害——Byod上周同样以广告开张，本周已经开始点名州政府。

metaencryptor连续第二日出货（韩国JH Technology、美国Greentech Renewables），累计已达9条，正在从新面孔滑向常驻供给方；rhysida点名泰国上市钢构企业、Orova以1天潜伏期继续其快节奏——老牌中频团伙构成了当日质量的底座：条目少，但每条都有画像价值。

六、攻击手法分析

当日最重要的\"手法\"是N0n的批量入库流水线本身。64条连号匿名条目（#148–#211）按既往规律将在1–2天内逐批转实名——入库（拿数据/拿访问）与挂牌（施压变现）之间被人为拉开了一个倒计时窗口。这个设计对团伙有三重价值：冲量做声势、观察哪些标的\"值得\"实名、以及用匿名期测试受害者是否主动找上门。对防守方，它把\"泄露站监控\"从事后取证变成了事前预警——匿名编号加旗标就是下一批实名的预告。

对大牌的\"夹带式点名\"是另一种低成本手法。Vertex与Expedia出现在同一批64条匿名条目之间，零散实名、零描述、零时间线。蹭名逻辑下，团伙不需要真的攻破Vertex——只需要让安全媒体把\"N0n点名Vertex\"写进标题，它的挂牌站流量和谈判筹码就同时升值。这与此前Lockbit5的域名式挂牌、Byod的广告帖是同一族手法：占用信息流的成本，永远低于占用受害者系统的成本。

BYOD的政府目标点名指向一种尚未兑现的攻击形态。得州HHSC是州级卫生主管部门——攻击它意味着社保、医疗补助与公共卫生数据的潜在暴露。现阶段更可能是\"点名施压\"而非真实入侵（Byod此前的IHG与大学点名均无独立确认），但一旦有团伙真的拿下州级机构，攻击-披露链条将进入公共事件级别。把它记在观察名单上，比争论真假有用。

AuditTeam的9天潜伏揭示了慢周期作业的反侦查价值。潜伏期内受害方日志早已滚动覆盖、员工记忆消退、临时账号清理——挂牌时企业能回溯的入侵证据窗口已经关了一半。对比Orova的1天潜伏（攻击次日即挂牌，日志与记忆都新鲜），两种节奏对应两种取证难度：受害方真正要防的不是\"被挂\"，而是\"挂出来时已经查不动了\"。

krybit的域名式挂牌集中打港区，与Incransom此前的近零描述模式合流。五条全部只挂域名、不带画像——这类条目对团伙是零成本占位，对防守方却是必须逐条核验的悬置威胁。港区的中资背景企业无既定披露义务，恰恰成为这类\"挂了也没人追问\"打法的理想猎场。

七、攻击动机分析

•︎ N0n 批量入库64条匿名+夹带两家巨头，动机是做市与抬价。匿名流水线维持曝光节奏、冲单日声量；大牌实名制造媒体标题——它的挂牌行为本身就是产品，条目数量是它的市场份额。

•︎ BYOD 点名州政府与名校，动机是立招牌。高知名度、低变现可能的目标选择服务于\"敢打硬目标\"的名声建设——招商期的团伙，名声就是产能。

•︎ krybit 集中挂牌港区企业，动机是寻找低对抗性市场。港区中资背景企业少披露义务、少监管强制响应，挂牌即接近终局，是域名式打法的理想环境。

•︎ AuditTeam 攒批9天后四地同挂，动机是稀释关联信号。让受害方与研究者无法从\"同时出现\"反推出共同入侵入口——批量投放本身就是反情报手段。

•︎ Orova 潜伏1天即挂牌，动机是压缩响应窗口。数据在受害方事件响应启动之前已进入变现通道——快节奏直接对冲\"备份+应急响应\"体系。

•︎ 新团伙（Aoqin、HYFLOCK等）零描述入场，动机是最小成本试水。先用贴版式挂牌验证渠道与关注度，再决定投入——入场试错的成本已经低到一天可以冒出5家。

八、攻击趋势分析

•︎ 单日100起、21团伙双纪录，但\"一家做市\"贡献了三分之二。剔除N0n的64条匿名入库后真实水位约33条——统计口径必须区分\"投放量\"与\"受害量\"，否则峰值日会被误读为生态突变。

•︎ 匿名→实名流水线首次以64条的规模出现，预警价值与情报噪音同步放大。按1–2天的转化规律，11月10–11日的实名统计将出现结构性回填——明日日报的\"新增\"里有相当部分今天已经预告（美国约40、加拿大11）。北美团队应把这两天的实名转化名单当作优先处置队列。\\

•︎ 大牌点名频率上升：Vertex、Expedia同日上榜，加上得州HHSC与范德堡——单日4条高知名度目标为系列之最。真假混杂的点名本身正在成为一种攻击媒介：被点名方被迫在\"公开否认\"与\"沉默核查\"之间消耗资源。

•︎ 新团伙供给持续放量：当日至少5家新面孔、近10天6家新组。叠加21家同日出场，供给侧的进入速度已超过出局速度——挂牌站的\"库存\"来源正在多元化，这对任何以\"团伙数\"为口径的监测都是膨胀压力。

•︎ 周日晚19起→周一100起的426%跳变刷新了本系列的周内摆动幅度。此前周一（11月2日）为23起——周末低量后周一集中释放已是稳定模式，但本周一的释放主体从多团伙轮动变成了单团伙做市，摆动的性质在变。

•︎ 香港单日4起（3家团伙各有点名）创区域纪录。多团伙同日命中同一市场，通常预示该市场暴露面信息已在渠道间流转——港区及中资背景机构应把本周视为密集点名期，提升泄露站自查频率。

•︎ 医疗链条出现\"研发—数据—系统—监管\"四层同日点名。制药商、医疗数据公司、区域医疗系统、州卫生主管部门同时上榜——医疗数据的整条价值链正在被系统性扫靶，而非随机命中。

九、防守方建议

结合当日100条的结构特征（单团伙做市、匿名预警、大牌点名、港区密集），给出六条可落地的动作，前两条针对未来48小时。

•︎ 北美机构把匿名编号清单当预警队列，今天就开始自查。N0n的64条匿名条目（美国约40、加拿大11）将在1–2天内转实名。动作：对自身做一次\"入库自查\"——近30天的异常登录、出站大流量、备份篡改痕迹与管理面板弱口令专项；把自己从\"待实名名单\"里摘出来的唯一时机就是现在。

•︎ 被大牌式点名（Vertex、Expedia、HHSC类）的机构，先内部核查再对外回应。零描述点名无法证伪，慌忙否认与沉默都不对。动作：①72小时内完成对外暴露资产与近90天日志的比对核查；②查第三方/合作方（分销商、数据分析商）的数据持有边界——Vertex类泄露物通常出在合作侧；③核查结论出来前，对外只说\"已启动核查\"。

•︎ 港区及中资背景机构本周做一次泄露站日检。三家团伙同日命中港区，密集点名期已开始。动作：把主流挂牌站的域名/名称检索设为每日例行（自动化脚本成本极低）；命中即按预设流程启动取证与法务评估，不等监管或媒体来问。

•︎ 自查按\"攻击日期\"倒推，不要按\"挂牌日期\"。AuditTeam潜伏9天的攒批模式说明挂牌日与入侵日可以差出一周以上。动作：凡在挂牌站发现自己，一律以条目攻击日（如10-31）为起点回溯两周日志——挂牌当天开始查，证据窗口已关闭一半。

•︎ 律所与专业服务机构做一次\"客户数据隔离\"专项。当日律所条目（Wilentz）再次验证专业服务机构的出险模式。动作：把在办案件文件按客户分级隔离、加导出审计；与客户的服务协议里写清数据泄露的通知义务与责任边界——律所出险的连带成本远高于自己被加密。

•︎ 把备份恢复的验收标准压到24小时以内。当日Orova潜伏仅1天、Akira此前为2天——对手的\"攻-取-挂\"周期已经压进48小时，正在逼近24小时。动作：核心系统做一次不预先通知的恢复演练，实测端到端RTO；超24小时的部分优先补并行恢复能力，而不是堆备份副本。