文章总结： 文档介绍了新兴数据窃取团伙Insomnia针对美国医疗行业的攻击活动。该组织自2025年10月以来已公布18名受害者，其中超半数为中小型医疗机构，主要通过凭证窃取、身份验证绕过和滥用合法工具进行隐蔽数据窃取与敲诈，而非加密型勒索。分析指出医疗行业赎金支付率下降，但仍是高频目标。建议医疗机构强化多因素认证、凭证监控、漏洞管理，并部署异常数据传输检测与业务连续性机制以降低风险。 综合评分： 78 文章分类： 威胁情报,数据泄露,恶意软件,安全建设,网络安全

数据窃取新秀：这个黑客组织让医疗行业夜不能寐

原创

网空闲话 网空闲话

网空闲话plus

2026年2月12日 06:51 北京

一个名为“Insomnia（失眠症）”的新兴数据窃取团伙正将矛头对准美国医疗卫生行业。自其数据泄露网站在暗网出现以来的数周内，已公布18名受害者，其中超过一半与医疗行业相关。截至目前，除巴西和新加坡各1家机构外，其余受害者均位于美国，多为年收入500万至5700万美元、员工规模11至200人的中小型医疗机构及相关企业，包括医疗服务提供者、两家处理医疗事故案件的律师事务所，以及一家外科和医疗设备制造商。

安全公司Kela威胁情报分析团队负责人林·列维指出，Insomnia最早于2025年10月8日上线其泄露网站，显示该行动可能已持续数月。“根据Kela数据库，这些受害者此前未被其他勒索软件组织认领，也未出现在其他泄露网站上。”他还表示，目前泄露的数据可免费下载，样本包括患者信息、驾照、税务表格及其他敏感健康资料，其中甚至包含2026年1月的文件，但Kela尚未独立核实其真实性。Kela暂未发现相关谈判门户或勒索软件变种，“根据现有证据，我们主要将其视为数据泄露网站，而非加密型勒索行动。”

Rapid7高级总监Christiaan Beek分析称，Insomnia“更擅长隐蔽的数据窃取，而非高调的勒索软件攻击”。其技术手法包括利用基于凭证的访问（如来自信息窃取木马的凭证）、身份验证绕过漏洞，并滥用合法基础设施（如Windows Server更新）进行横向移动。“其运营模式强调速度与低可见性，通过泄露敏感数据最大化勒索杠杆，而不是加密系统。”他还指出，Insomnia可能充当被盗数据的“中间商”，采用混合模式——既可能直接入侵，也可能为其他数据经纪人提供变现渠道。另有迹象显示，该组织刻意避免攻击多数前苏联国家，这一模式常见于在非正式“安全港”环境下运作的俄语网络犯罪团伙。

医疗行业历来被视为“易付赎金”目标，但趋势或正在变化。Sophos去年10月发布的年度调查显示，仅36%的医疗受害者支付赎金，较2022年的61%大幅下降；平均赎金也从2024年的147万美元降至2025年的15万美元。Sophos指出，犯罪分子在该领域的生存环境正在变得更为艰难。

尽管如此，医疗机构仍是高频目标。Kela统计，今年以来已有68家医疗机构遭网络团伙攻击，其中50家在美国。Beek补充称，麒麟（Qilin）和新兴组织Sinobi等仍活跃于医疗领域。美国医疗机构数量庞大、安全能力参差不齐，加之数据敏感、业务不可中断，使其持续成为网络犯罪团伙的重点猎物。

警示

Insomnia的出现再次表明，医疗机构正从传统勒索软件加密攻击，转向更隐蔽、更难察觉的数据窃取与敲诈模式。攻击者利用凭证泄露、身份验证绕过和合法工具横向移动，往往在未触发明显告警的情况下完成数据外流。医疗行业应强化多因素认证（MFA）与凭证监控，持续清理信息窃取木马遗留风险，关闭身份验证绕过漏洞；同时部署针对异常数据传输和横向移动的检测能力。针对中小型机构，应提升日志留存、威胁情报订阅和第三方风险管理能力。更重要的是，建立“不付赎金也能恢复”的业务连续性与数据备份机制，减少对攻击者的谈判依赖。唯有从体系化防御入手，医疗行业才能真正降低被反复勒索的结构性风险。

参考资源

1、https://www.bankinfosecurity.com/new-data-theft-gang-for-health-sector-to-lose-sleep-over-a-30735

2、https://www.ransomlook.io/group/insomnia

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网空闲话plus 网空闲话 网空闲话《数据窃取新秀：这个黑客组织让医疗行业夜不能寐》