勒索事件日报：2026年-10月-10日

原创

MasterC
MasterC

企业安全实践

2026年10月11日 08:25
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

10月10日全球勒索站点新增29起披露，Majinahanashi一家独占19起、占比65.5%——攻击时间横跨6月底至10月初，是一次典型的存量账本集中摊开，美国占比骤降至10.3%。

一、勒索数据概述

2026年10月10日（UTC自然日），全球勒索泄露站点新增 29 起 受害者披露，来自 8 个 勒索团伙，覆盖 19 个国家与地区（另有 4 起未标注归属地）。

把这个数字放进本周的连续曲线里才看得准：10 月 6 日 21 起、7 日 24 起、8 日 32 起、9 日 82 起、10 日 29 起。29 起恰好落回本周的常态上沿，市场日常披露的水位并没有任何下降——前一日 Thegentlemen 制造的 82 起只是叠加在常态之上的一次异常峰值，而今天真正值得警惕的结构变化，被这个平淡的总量掩盖了。

变化来自两处。其一，Majinahanashi 以 19 起独占当日 65.5%，且这 19 条记录的预估攻击时间从 6 月 27 日一路延伸到 10 月 2 日，横跨三个多月——这不是一天之内打下的战果，而是一份积压已久的账本被一次性摊开。其二，美国占比从前一日的 37.8% 骤降至 10.3%（3 起），欧洲、拉美与亚太同时接棒，攻击重心的地理再平衡正在加速。

二、被攻击单位分析（受害者清单）

当日 29 起披露的完整清单如下（行业归类依据公开业务描述推断）：

清单里有两处细节不该被略过。CDA 与 CARIBE/SUBRA 这两条未标注归属地的记录，恰恰是当日数据敏感度最高的两起：前者被窃取 10 万份以上 DICOM 医学影像文件并伴随服务器加密，后者被窃取 2 万余份敏感人力资源文件——从内部域名与文件类型判断，两者极可能分别指向北美医疗与人力资源数据处理方。DexCom 作为年营收 49.7 亿美元的医疗设备巨头登上榜单，则再次证明行业龙头身份并不构成免疫。

三、行业维度分析

当日行业分布出现一次明显的重心偏移：餐饮、酒店、零售与珠宝等消费及生活服务业合计约 14 起，接近当日总量的半数，一跃成为第一大目标池。这与前一日「专业服务与工业制造并列榜首」的格局形成鲜明对照。

Majinahanashi 的 19 起披露几乎全部落在这一区间——烤鸡连锁、袜类制造商、泰式餐厅、影音电商、烘焙连锁、珠宝商、五星酒店。这些标的的共同特征是现金流密集、数字化程度中等偏上、停机即直接切断当日营业收入，属于典型的「痛点折现快」型目标。

制造与建筑工程合计 7 起（PCA Group、HYSYTECH、TEXMA、KOIKE Sanso、Camandona、ACI Proyectos、LD Constructora），延续了工业标的稳定受击的基本面。医疗健康 3 起值得单独点名，医疗数据的黑市价值使其在任何一天都可能被优先处置。政府、教育与公共部门 3 起（泰国皇家空军门户、阿根廷某市现代化与创新秘书处、埃及 Helwan 国际技术大学），专业服务 1 起（美国律所 Gress Clark Young & Schoepper，被窃 167,804 个文件、约 166.4 GB，含律所及其客户的银行明细）。其余分散在物流、印刷与 SaaS 领域。

四、区域维度分析

欧洲以 9 起居首，且分布极为均匀：意大利 2 起，德国、瑞士、法国、葡萄牙、波兰、立陶宛、英国各 1 起。拉美 5 起（哥伦比亚 2、智利 2、阿根廷 1）与亚太 6 起（印度 2，马来西亚、泰国、日本、中国台湾各 1）紧随其后，三方合计拿走近七成。

美国当日仅 3 起、占比 10.3%，与前一日的 31 起、37.8% 相比落差极大。这一变化不宜解读为「美国安全了」，更可能是披露批次的结构性轮换：10 月 9 日的巨量来自 Thegentlemen 的集中释放，10 月 10 日则轮到 Majinahanashi 清理自己手里的欧洲与亚太库存。但即便如此，拉美、东南亚与中东欧的持续上榜，仍在反复印证同一个判断——成熟市场防护水位抬升之后，团伙的火力正稳步向监管与投入相对薄弱的新兴市场迁移。

另有 4 起条目未标注归属地，其中 2 起（CDA、CARIBE/SUBRA）从内部域名与文件类型看极可能指向北美医疗与人力资源数据处理方，需持续跟踪。中国台湾地区有 1 家服装制造企业被攻击。

五、攻击团伙分析（团伙分布）

当日 8 个团伙的分布呈极端头部集中结构，一家独大、其余七个各出一手：

Majinahanashi 是当日唯一的叙事主线。19 起占比 65.5%，攻击时间跨度为 6 月 27 日至 10 月 2 日。这种「跨季度存量、单日集中挂出」的行为模式在勒索生态里含义明确：该团伙手上囤积了一批谈崩或已收款的标的，选择在一天之内全部推上台面，用数量堆积制造品牌声量，同时向存量受害者施压——曝光本身就是谈判筹码。

Qilin 以 4 起位居第二，标的横跨哥伦比亚工程公司、阿根廷市政府、智利建筑商与美国乡村俱乐部，延续其「多国并行、不分行业」的广谱打法。真正需要标记的是当日集中亮相的 4 张相对陌生的面孔：Dragonforce、Umbra、Redact、Exitium 各出手 1 起，且首秀标的几乎全部指向高价值或高敏感目标（泰国皇家空军、埃及高校、年营收近 50 亿美元的医疗器械商 DexCom）——这是新品牌立足市场的标准路径：用一次足够响亮的攻击换取可信度。而 Rhysida 与 Thegentlemen 两家既有玩家各以 1 起低强度出镜，前者瞄准美国律所，后者瞄准泰国皇家空军，属于典型的「维持存在感」式出手。

六、攻击手法分析

Majinahanashi 的核心手法是「存量批量释放 + 中小消费型标的靶向」。19 起中攻击时间最早可回溯到 6 月 27 日，最晚到 10 月 2 日，跨度超过三个月，却在同一日集中挂出——这意味着其后端存在一套稳定的受害者托管与批量上架机制，攻击、谈判、曝光三个阶段被彻底解耦。对防守方的现实含义是：即便入侵发生在三个月前且当期未被发现，风险也不会随时间衰减，只会在某一天被突然兑现。

Rhysida 展示了数据窃取路线的完整杀伤链。其公布的美国律所标的被窃 167,804 个文件、约 166.4 GB，明确包含律所自身与客户的银行明细——对律师行业而言，客户资金信息的泄露直接触发受托责任与执业合规风险，杀伤力远超单纯加密。

Exitium 采用赤裸的限时通牒策略。在其日本工业设备标的的页面上，攻击方直接写明「你还有时间到 10 月 13 日（周二），若不联系我们，我们将……」——把赎金谈判压缩成倒计时，剥夺受害方的评估与取证窗口，这是新入场团伙快速建立威慑的常用手段。

部分条目的技术细节揭示了攻击深度：CDA 被描述为「服务器加密 + 10 万份以上医学影像文件外泄」，CARIBE/SUBRA 则被注明「内部域 CARIBE.LOCAL、服务器与 Hyper-V 加密、2 万余份敏感人力资源文件外泄」。域内横向移动、虚拟化层加密、大规模文件枚举外传——这套组合说明攻击方在目标网络内拥有充分的驻留时间与权限。

Qilin 维持稳健的选择性靶向，4 起分布在不同国家与行业，节奏克制，不追求单日爆发。

七、攻击动机分析

当日攻击动机仍以经济利益为绝对主轴，但目标选择的优先级排序进一步清晰：

•︎ 现金流定价——餐饮、酒店、零售类标的被大量选中，停机即等同于当日营业中断，这类目标「痛点折现」最快、支付意愿最强；

•︎ 数据密度定价——医疗影像、人力资源档案、律所客户资金明细沉淀着高价值结构化数据，一次入侵即可撬动下游链条，医疗板块当日 3 起全部具备这一特征；

•︎ 品牌杠杆定价——DexCom、泰国皇家空军这类高认知度主体被挂出，对首次亮相的团伙而言是可复用的「战绩背书」，广告效应远超单笔赎金；

•︎ 合规压力定价——政府机构、高校与律所受法规与执业规范约束，数据泄露后的报告义务与问责会显著放大其止血动机；

•︎ 规模经济定价——Majinahanashi 式的跨季度存量批量作业，把单位披露成本压到极低，使「清库存」本身成为可持续的经营动作。

八、攻击趋势分析

把 10 月 10 日放进连续观察，四条趋势防守方必须正视：

•︎ 日常水位稳定在 20 至 30 起区间，峰值只是叠加项——本周 6 日至 10 日披露量依次为 21、24、32、82、29 起，剔除 10 月 9 日的异常爆发后，整体水位稳定在二三十起的常态区间，「没有新闻的一天」并不等于「没有攻击的一天」；

•︎ 存量批量释放成为主流曝光战术——Majinahanashi 用一天时间清空了跨越三个多月的积压清单，说明团伙的攻击、谈判与曝光三阶段已彻底解耦，受害方无法再依据「攻击发生的时间」推断自己是否安全；

•︎ 目标结构向消费与生活服务业下沉——当日近半标的集中于餐饮、酒店、零售与珠宝，与前一日「专业服务/工业制造主导」的格局形成对照，说明团伙正把火力分散到数字化中等、现金流密集、抗停摆能力弱的中小主体；

•︎ 新品牌与新兴市场同步扩容——Dragonforce、Umbra、Redact、Exitium 四个相对陌生的名称同日完成首秀，且首秀标的直接指向国防、教育、医疗器械与律所；区域上，美国占比骤降至 10.3%，欧洲、拉美、亚太同步接棒。

九、防守方建议

把「存量风险」纳入常态资产管理，而不是只看当期事件。Majinahanashi 的 19 起中有 18 起攻击时间早于披露日一个月以上，最久跨了三个半月。这意味着一次未被发现的入侵可以在网络内静默潜伏数月，并在任意时点被兑换成曝光与赎金。建议将 EDR 与日志留存周期延长至 180 天以上，并把「历史异常回溯排查」列为季度例行动作——排查的对象不是新告警，而是三个月前就已经消失在日志里的旧痕迹。

针对消费与生活服务业做一次定向体检。当日近半数标的是餐饮、酒店与零售企业，这类主体普遍存在「门店系统与总部网络打通、POS 与会员数据集中存放、IT 外包程度高」的特征。建议优先收敛门店到总部的网络暴露面、隔离 POS 网段、对远程运维通道强制多因素认证，并核查外包服务商是否持有长期未回收的高权限账号。

把「数据外传检测」提升到与加密防御同等的位置。CDA 的 10 万份医学影像、CARIBE 的 2 万余份人力资源文件、律所的 166.4 GB 客户资料，走的都是「窃取优先、不加密或弱加密」路线。建议重点监测异常的大规模文件枚举、非工作时间的数据外传、以及云存储与个人网盘通道的异常流量——这类行为的特征窗口很短，必须在数据离网之前完成拦截。

对高敏感行业的攻击者首秀保持警觉。Dragonforce、Umbra、Redact、Exitium 的首批目标集中在国防、高校、医疗器械与律所，说明新品牌倾向于用高敏感标的换取声量。医疗、国防、教育、法律四个行业应将泄露站点监控升级为主动预警：一旦发现同业密集见榜，立即触发一次无预期的暴露面专项排查。

重估「被挂单时间」与「实际受害时间」的差值管理。当攻击到披露的间隔可以被拉长到数月，传统的「按披露倒排应急时限」逻辑已经部分失效。更务实的做法是双线并行——对外按披露节奏准备沟通与合规响应，对内按「假设我们已被入侵三个月」的标准做常态化取证与痕迹留存，避免事发后因日志缺失而丧失谈判与溯源能力。

THE END