某大型港口机械制造商遭勒索组织挂牌，索价1.6亿美元

原创

Qsec
Qsec

Qsec

2026年10月13日 17:24
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

某大型港口机械制造商遭勒索组织挂牌，索价1.6亿美元

2026 年 10 月 12 日，一个名为 N0n 的勒索组织将一家大型港口机械制造商列上它的暗网网站。页面标注的索价为 1.6 亿美元，宣称窃取的数据是运营 EDI 归档与货物装载记录，公开期限定在 10 月 19 日。截至发稿，这一主张没有任何一方证实，也没有任何一方否认。文中信息来自公开的勒索站点监测平台与安全厂商简报，凡涉及入侵与窃取的表述，均为攻击者单方主张。

事件经过

收录这条挂牌的，是追踪勒索站点公开信息的监测平台，时间戳为 10 月 12 日 14 时 12 分（UTC）。条目将这家企业描述为港口机械与码头工程公司，主营岸边集装箱起重机（岸桥）、场桥等港口装卸装备的制造与全球交付。条目标注的预估攻击日期与收录日期同为 10 月 12 日，入侵实际发生的时间没有披露。

站点顶部写着一句话，“下列组织已失去对其网络的控制”。这家企业的条目以弹窗呈现，数据栏写明为“运营 EDI 归档与货物装载记录”。EDI 即电子数据交换，是航运与口岸业内传递订舱、舱单、闸口单据的标准化报文；装载记录对应船舶配载与装箱明细。

随条目展示了两份样张文件。一份是 EDI 原始报文，文件名 907780\_CHAM082WQZHPRE\_original.edi；另一份是 Excel 表格，文件名 953654\_恒辉2617S装单.xlsx，带有船名与航次格式的字样。

索价标注为 160,000,000 美元，约合 1524 枚比特币，收款方为一个指定的比特币地址。页面条款写明，支付由比特币网络自动验证，全额到账后数据销毁、页面移除，全程“无需注册、无需联系、无谈判”。页面另设一条替代路径，支付结算额的 10%（单笔）可认领一间私人谈判室，凭交易 ID 领取房间密钥，每个条目限用一次。

条目当前状态标注为 NOT PAID — EXPOSED，即未付款、数据待公开，公开时间为 10 月 19 日 13 时 27 分（UTC）。

N0n 泄露站上该港机制造商条目页面，公司名、国别与比特币地址已作遮盖处理

▲ N0n 泄露站上的条目页面（Ransomware.live 存档截图，公司名、国别与比特币地址已作遮盖处理）

勒索组织 N0n

N0n 在公开情报中首次出现是 2026 年 9 月 18 日。当天有威胁情报机构发布告警，公布了该组织 Tor 网络站点的地址；追踪勒索站点的监测平台同一天收录了它的首批条目，单日 11 条。各家追踪平台收录的最早条目均不早于这一天，Fortra 10 月 3 日发布的分析称其为“此前未知”的组织，公开资料中没有将它与某个既有团伙关联或更名的记录。

站点设计走极简路线，页面不使用 JavaScript，标语写作 “no js | no mercy”，配倒计时显示公开期限。对其运作模式，目前两套口径并存。SOCRadar 将其归为“以数据窃取与勒索为目的、不依赖传统勒索软件”的组织。CyberXTron 与 SC World 的描述是双重勒索的变体，窃取数据之外，明示威胁加密或销毁受害者的备份与影子副本。有安全厂商另将其评估为封闭或半封闭的团伙运作，不属于公开招募同盟的勒索软件即服务模式。

初始入侵环节，CyberXTron 的记录是使用从信息窃取型恶意软件（infostealer）中窃得的凭证进入企业网络，再利用内部管理员工具集中数据并外传，目标包括客户数据库、平台数据、文档与活动目录信息。监测平台统计，该组织名下约三分之二的受害者域名，曾出现在 infostealer 窃得的数据集中。

技术特征上，公开的战术矩阵收录八项条目，覆盖有效账户滥用、命令与脚本解释器、开机自启动持久化、混淆文件信息、远程桌面协议横向移动、数据暂存、停止服务与加密数据、抑制系统恢复与停用安全工具。

体量方面，截至 10 月 13 日，监测平台收录该组织受害者 72 名，分布在 27 个国家和地区；近 30 天站点存活率约 94%；挂牌速度较上月增长约 200%。行业分布，交通运输 35 家居首，其后为科技 7 家、医疗 6 家、金融 5 家、制造 4 家。地域分布，韩国与美国各 12 家，其后为巴西 5 家、印尼 4 家、英国 3 家。

9 月 18 日至 22 日挂牌的首批 13 个条目覆盖 10 个国家，包括美国体育商品电商 Fanatics、一家跨国药企的土耳其子公司、瑞典一家承接 PayPal 客服业务的外包商、阿根廷教育部、美国教师联合会、委内瑞拉最大的互联网服务商。这批条目中有 11 个在期限过后标注为数据已公开，2 个仍在倒计时（统计时点为 9 月 22 日）。

追踪平台 Ransomware.live 的 N0n 群组页，页面提示新兴组织的主张应保持谨慎

▲ 追踪平台 Ransomware.live 的 N0n 群组页（2026-10-13 截图），页面自带提示，新兴组织的主张在独立核实前应保持谨慎

同批挂牌名单

这家港机制造商的条目出现在一批集中挂牌里。仅 10 月 12 日一天，监测平台收录该组织新增的港航相关条目至少 15 条，挂牌时间集中在当日下午（UTC）的数小时内，业态覆盖集装箱航运、码头运营、港口代理、干散货航运、造船与船舶管理、物流与港口咨询。

同批被点名的企业及其条目所列数据如下。

• •

新加坡集装箱航运公司 Ocean Network Express，条目列有内部员工名录、航次与燃油消耗记录
* •

巴西港口运营商 Santos Brasil，条目列有码头操作系统数据库脚本与运营记录
* •

巴西集装箱码头 Portonave，条目列有码头操作系统数据库材料与运营 EDI 数据
* •

土耳其 Asyaport，条目列有危险品运营记录与内部数据库脚本
* •

韩国釜山新港集装箱码头（BNCT），条目列有运营 EDI 归档与内部数据库脚本
* •

韩国码头运营商 MGNP，条目列有商业发票记录与计费系统材料
* •

韩国干散货航运公司 Polaris Shipping，条目列有内部财务凭证与船舶运营数据
* •

印度尼西亚港口代理 GlobalNet LCL，条目列有集装箱闸口移动与残损管理记录
* •

日本造船与船舶管理企业 Tsuneishi / Kambara Kisen，条目列有运营 EDI 归档与商业合同记录
* •

荷兰航运联盟服务机构 Premier Alliance，条目列有码头网络文档与运营 EDI 归档
* •

德国汉堡港口咨询公司 HPC，条目列有运营 EDI 归档与货物、提单数据

另有数家亚洲航运与物流企业同批在列。

这批条目的描述有一个共同点，至少 8 条写有“运营 EDI 归档”字样。

各方口径

监测平台在这条挂牌与该组织页面上都标注了同一段提示，N0n 属于新兴组织，其认领主张在获得独立核实之前应保持谨慎。

安全媒体对 9 月批次的核查结论更细一步。这 13 条全部只有单一监测源收录，未获得第二家独立爬虫确认；挂牌是犯罪方单方面的指控，收录不等于失陷被证实，样本可能夸大、拼凑、回收旧事，或指向第三方数据而非企业自身系统；企业的否认不能反向证明主张为假，沉默同样不构成证据，能够确认事件的只有企业自身或其监管方。

被挂牌企业的反应，目前没有公开记录。截至 10 月 13 日，两批被点名企业中没有一家公开确认或否认。被挂牌的这家港机制造商没有发布声明，其上市地的信息披露平台查无相关公告，中文媒体对这一事件暂无报道。

当前状态

页面仍在线。这家港机制造商条目的公开期限为 10 月 19 日 13 时 27 分（UTC）。截至发稿（10 月 13 日），条目标注的付款状态未变，两份样张之外没有新的数据放出。

若页面按标注执行，期限之后会出现可供核对的实物证据；若页面在期限前后下架，通常对应付款与主张撤回两种情况。下一个可核实这一主张的时间点，是 10 月 19 日 13 时 27 分（UTC）。

N0n 挂牌时间线

▲ N0n 挂牌时间线（2026 年，按监测平台收录时间）

参考

• •

Ransomware.live：N0n 群组页与港机制造商条目存档（2026-10-12/13）
* •

CyberXTron：n0n Ransomware Emerges as a New Threat Group（2026-09）
* •

Fortra：n0n Ransomware: What You Need to Know（2026-10-03）
* •

Security Arsenal：N0N Ransomware 10 Victims Posted in 24 Hours（2026-09-19）
* •

SOCRadar：n0n Ransomware Group Profile（2026-10）