勒索事件日报：2026年-10月-19日

原创

企业安全实践
企业安全实践

企业安全实践

2026年10月20日 22:19
福建

去阅读

导读

10月19日新增31起、13个团伙、10个国家地区。qilin以9起重回第一，三家团伙同日点名三家律所，云端数据库密钥成为不打加密者的主战场。

一、勒索数据概述

2026年10月19日（UTC自然日），全球勒索泄露站点新增 31 起 受害者披露，来自 13 个 团伙，覆盖 10 个国家与地区。总量与 10 月 18 日的 32 起基本持平，是本轮周内的首个工作日。真正的看点不在数字，而在头部两席当天完成了一次换位。

qilin 以 9 起（29.0%）反超 N0n 的 8 起（25.8%），重新拿回单日第一。就在前一天，N0n 还是 11 起居首、qilin 只有 6 起排在第三。头部的名次在 24 小时内直接翻转，说明团伙的投放是批次驱动而非能力驱动——攒够一批就上线，打完就下线。以「某团伙近期活跃」作为风险预判输入，保质期已经短到以天计。

前三家合计 20 起，占 64.5%；但长尾拉得极长——13 个团伙里有 9 个当天只挂出 1 起。这是近十个自然日里最碎的一天之一。参与者多、单产量低，意味着生态里大量的小团伙仍在靠零散命中维持存在感，而真正成规模的产出集中在两三家手里。

时间结构高度收敛到「当日收割当日挂牌」。31 起中 30 起（96.8%）的攻击时间与披露时间为同一天，唯一例外是 nitrogen 打 Walbro——10 月 12 日攻击、10 月 19 日公开，延迟 7 天。这与 10 月 18 日 settra 一口气释放 8 条平均延迟 18.3 天的九月存量形成鲜明反差：清理库存的动作是间歇性的，实时收割才是常态。

地理集中度则明显回升。美国 21 起，占 67.7%，是近十个自然日的最高值（10 月 16 日为 43.2%、10 月 18 日为 53.1%）。加上加拿大 2 起，北美合计 23 起、占 74.2%。美国企业在这一天的暴露面被成倍放大，而这与 qilin 的广撒网和 N0n 的全美扫荡直接相关。

二、被攻击单位分析（受害者清单）

以下 31 条按站点披露时间先后排序。国别一栏已逐条回到条目原文与公开资料核对，当天 3 条旗标与实体实际所在地不符：Johnson & Pace 标英国，实为美国得州朗维尤的工程建筑与测绘事务所；SkyWorld Air Cargo 标阿联酋，但企业自述「我们是美国公司」，总部与 5.2 万平方英尺货运枢纽均在佛罗里达多拉尔；POWERsonic Industries Inc. 标美国，实际全球总部在加拿大安省博尔顿。若直接取旗标字段，美国会被计成 20 起、加拿大只剩 1 起，而阿联酋与英国会各多出一条本不存在的记录。

清单里唯一涉及中国主体的条目，是一家中国分布式数据库厂商。当日未见中国香港、中国澳门、中国台湾地区主体。

体量跨度仍然是这张清单最刺眼的地方。一头是营收规模约 50 亿美元级别的国际律所 Latham & Watkins、员工逾 12 万的全球安保巨头 GardaWorld、年营收约 10 亿美元的学生公寓运营商 American Campus；另一头是田纳西州一家特效雾油制造商、德州一间 51–200 人的工程事务所、以及两家至今未实名的中小企业。同一天、同一批团伙、同一套自动化流程，通吃——防护水平的差距并没有体现在目标筛选上，攻击方筛的是「能不能进去」，不是「值多少钱」。

匿名化比例回落到 6.5%（2/31）。两条均为 N0n 的编号条目——Company #93（美国医疗支持服务）与 Company #94（美国汽车零售），均挂着 PENDING EXPOSURE 倒计时。编号已推进到 #93、#94，与 10 月 18 日的 #89–#94 相接，说明 N0n 的匿名条目与实名条目是同一批受害者的两个阶段。这类条目通常在 1–2 天内转为实名，是防守方能拿到的少数可用预警窗口。

三、行业维度分析

按条目原文与公开资料归类，当日行业分布为：专业服务 6 起、医疗健康 5 起、交通运输 4 起、制造业与金融服务与科技各 3 起、教育 2 起、住宿餐饮 2 起、零售电商 2 起、其他 1 起。

最值得单列的是专业服务里的三条——它们全是律所，并且由三家不同团伙在同一天点名。Rosenberg & Pittinsky（纽约，营收 500 万美元，25–50 人）被 Global Secret Group 拿下 430 GB；Baker Donelson（355 GB）落在 Redact 手里；Latham & Watkins 则由前 Conti 团队的 SilentRansomGroup 挂出。一天之内三家团伙同时盯上法律服务赛道，不是巧合。律所的资产形态极其适合勒索：卷宗、并购底稿、客户身份与财务文件，一旦公开，最先被吓到的不是律所自己，而是它的客户。

医疗健康 5 起，全部是轻资产的门诊型或支付型机构。墨西哥眼科连锁 Salauno、德州日间手术中心 Kingwood Endoscopy、佛州口腔诊所 Dental Team FL、佛州联邦医保优势计划 Ultimate Health Plans，以及一条尚未实名的美国医疗支持服务。这类机构的共同点是：数据敏感度极高、IT 投入普遍薄弱、且直接受医疗合规约束。值得注意的是，当天没有任何一家大型综合医院上榜——攻击方很清楚，小机构的响应能力更差，付款意愿也更容易被合规压力推动。

交通运输 4 起，罕见地覆盖了陆、海、空与经销四个环节。Baltimore Tank Lines 跑成品油与车用尿素液罐，Patriot Maritime 代管美国军事预备舰队（RRF）与滚装船，SkyWorld Air Cargo 是以迈阿密为枢纽的航空货运商，Toyota Canarias 则是西班牙加那利群岛的丰田经销体系。一条供应链的四个节点在同一天被点名，且分属三家不同团伙，说明运输行业的暴露面是结构性而非个别性的。

制造业 3 起全部是供应链上游的配套件厂商。Walbro 做燃油系统与高压铝压铸，POWERsonic 做线束与电缆组件，GTL 做预拌混凝土。这类企业自身不大，但手里握着下游整机厂的设计图纸与订单数据——打它们比打主机厂容易得多，而拿到的东西在下游客户那里的分量并不轻。

四、区域维度分析

美国 21 起（67.7%）、加拿大 2 起（6.5%），北美合计 23 起占 74.2%；拉美 3 起（巴西、墨西哥、阿根廷各 1 起，9.7%）；欧洲 3 起（德国、西班牙、葡萄牙各 1 起，9.7%）；亚洲 2 起（印度、中国各 1 起，6.5%）。

美国占比冲到 67.7%，是近十个自然日的最高点。原因很清楚：qilin 的 9 起里有 3 起在美国，而 N0n 的 8 起和 Storm 的 3 起全部在美国。三个主力团伙同时把火力压在同一个国家，这在近期并不常见——10 月 13 日 qilin 的重心还在瑞典，10 月 12 日 N0n 的重心还在韩国港口生态。勒索的地理重心漂移速度很快，按国别配置防护资源的做法需要更短的复盘周期。

欧洲当天只有 3 起，且分散在三个国家和三个行业（德国酒店、西班牙汽车经销、葡萄牙金融服务），没有任何行业或地域上的聚集。这与 10 月 13 日 Wallstreet 一次性在瑞典挂出 10 条建筑设计类目标形成对照——欧洲不是没有目标，只是当天没有团伙对它做批量投放。

必须再次强调旗标口径的不可靠。当天 3 条旗标与实体不符，占比 9.7%。若直接引用站点国别字段，区域结论会从「北美 74.2%」变成「北美 70.9%，且凭空多出阿联酋与英国各 1 起」。对依赖这类数据做区域风险评估的团队来说，把国别字段当作可直接使用的事实，本身就是最大的数据源。

五、攻击团伙分析（团伙分布）

qilin 的 9 起呈现出极端的散射形态。9 起落在 7 个国家——美国 3 起，加拿大、墨西哥、阿根廷、葡萄牙、西班牙、印度各 1 起；行业则是安保、口腔、眼科、媒体、金融、汽车经销、航空货运、软件研发与工程建筑，9 条零重复。更关键的是，9 条里有 8 条的站点描述为空——不写文案、不谈赎金、不给证据，只挂个名字。这是典型的自动化暴露面扫描流水线：命中即挂牌，不做定向渗透，也不指望靠叙事施压。

N0n 的 8 起全部落在美国，且取数偏好发生了明显转向。此前 N0n 常取的是业务数据与拓扑文档，当天的四条具名条目拿的全是凭据与访问密钥：ERP 软件与托管商 Vormittag Associates 被取走「内部网络配置与安全凭据、管理员与远程访问凭据、企业与托管客户环境的网络拓扑」；支付科技公司 Finzly 被取走「支付基础设施的网络配置与访问密钥、云环境拓扑与访问密钥」；内镜中心 Kingwood Endoscopy 被取走「全部账号、口令与访问路径，以及记录系统、摄像头与远程访问系统的完整控制权证明」；Hotel DuPont 被取走的则是「网络与电话系统的接入凭据」。目标全部具有「托管或接入枢纽」属性——拿下它们等于同时拿到下游客户的一串门钥匙。

三个单起团伙反而是当天技术含量最高的部分。fulcrumsec 明确不部署加密，专攻云端数据库的未轮换 API 密钥与权限配置错误，历史受害者包括欧美多家大型企业与数据库厂商；Redact 的 8 起历史受害者 100% 遭到窃密器命中且全部位于美国，清单上有营收 394 亿美元的 ONEOK、215 亿美元的 Parker-Hannifin、140 亿美元的 Eversource、110 亿美元的 Graybar，当天补上一家律所；SilentRansomGroup 则是前 Conti 团队（UNC3753，又名 Luna Moth），工具链里登记了 AnyDesk、Bomgar、Zoho Assist 三款远程控制工具与 Rclone、WinSCP 两款外传工具，战术中明确包含语音钓鱼。这三家加起来只占 9.7%，但它们的打法代表了勒索生态正在分裂的三个方向。

长尾部分不构成威胁增量，但构成识别难度。当天 9 个团伙各只挂出 1 起，其中 nitrogen 平均攻击至披露延迟高达 175.5 天、站点在线率 0.0%，本月仅 1 起；aurora 则是 48 起历史受害者、平均延迟 11.4 天、月度增速 +100%。团伙画像的差异已经大到无法用同一套规则去描述，情报跟踪必须按团伙分别建模。

六、攻击手法分析

当天最清晰的手法线索，是「不打加密」的三个团伙各自成型。fulcrumsec 自 2025 年 9 月活跃至今，累计 28 起、13 个国家、站点在线率 94.6%，其定位是通过利用未轮换的 API 密钥与云权限配置错误，对云上数据库做高速窃取，而不部署加密；Redact 累计 8 起受害者的数据泄露量全部有登记（19.2 TB），窃密器命中率 100%，意味着入口几乎全部来自终端凭据而非漏洞利用；SilentRansomGroup 则把语音钓鱼（Voice Phishing）写进了战术矩阵，配合 AnyDesk、Bomgar、Zoho Assist 三款远程控制工具直接进场，再用 Rclone 与 WinSCP 外传。三家的共同点是：不需要攻破边界设备，只需要拿到一个有效身份或一把有效密钥。

凭据暴露的规模继续提供佐证。GardaWorld 一处域名检出 7,258 条口令（986 条高危）与 5,864 个 Cookie（4 个高危），同时 HudsonRock 记录到 44 名员工、942 个用户与 44 个第三方员工凭据被窃密器捕获；Seminole Schools 学区检出 1,334 条口令（39 条高危）；Walbro 检出 855 条口令（26 条高危）；印度软件商 WalkingTree 检出 831 条口令（93 条高危）。这些数字不是攻击的结果，而是攻击的前提——它们早在勒索发生之前就已经躺在地下市场里了。

披露文案里找不到一条谈加密或解密。当天 31 起中，没有任何一家的描述提到系统被锁死或需要提供解密器。Helix 的文案只有一句「American Campus 数据，年营收约 10 亿美元，GoFile 链接与口令 6 小时后解锁」；N0n 的四条具名条目统一以 [NOT PAID — EXPOSED] 收尾，两条匿名条目挂着 [PENDING EXPOSURE]。勒索的利润来源已经完全落在「防止公开」这一侧，业务能不能恢复不再是谈判桌上的筹码。\\

数据窃取的内容越来越指向「可二次变现的实体资产」。aurora 打 POWERsonic 时列出的清单极其具体：93–150 名员工的个人身份文件（社保号、护照、I-20 签证、LMIA 劳工批文、W-2 税表、工资单、银行信息）、8 个完整邮箱归档共 13.2 GB、7.5 GB 的客户线束设计图纸、15 GB 的线缆测试原始数据、以及一份与注塑巨头的双边保密协议、2025 年 12 月资产负债表与贷款协议。incransom 打德国 Seetel Hotels 时列出的则是客人护照与身份证号、含验证码与有效期的支付卡信息、预订备注、饮食禁忌与医疗住宿偏好、应收应付账款与内部审计文档。攻击者已经不满足于证明「我进去了」，而是精确描述「我拿走了什么、这些东西能卖给你客户以外的谁」。

七、攻击动机分析

•︎ 律所的筹码是客户的秘密，支付的动机来自客户而不是自己。Rosenberg & Pittinsky 430 GB、Baker Donelson 355 GB，两家律所的卷宗一旦公开，最先被触发的是客户的保密义务与监管责任。攻击方算得很清楚：律所为了避免客户流失与执业责任，付款意愿远高于同等规模的普通企业。

•︎ 云端数据库的筹码是下游传导。fulcrumsec 拿到的不是它自己的财务数据，而是云数据库里的密钥与配置——这些东西能打开的是它客户的生产环境。攻击方在赌的是：你为了避免连锁事故宁愿付钱。

•︎ 制造配套厂的筹码是客户的设计图纸。POWERsonic 一案中被点名的 7.5 GB 线束图纸、15 GB 测试数据与保密协议，全部属于它的客户。攻击方打的是供应链里最薄弱的一环，威胁的却是最有支付能力的那一环。

•︎ 酒店与诊所的筹码是合规后果。Seetel Hotels 的护照号与卡片验证码、Kingwood Endoscopy 的全部账号与访问路径、Salauno 的眼科病历——这类数据一旦公开，触发的不是业务损失而是监管处罚与集体诉讼，被攻击方很难用「我们已经恢复了业务」来应付。

•︎ 营收数字被直接写进挂牌标题，赎金定价已经公开化。Helix 对 American Campus 标注「年营收约 10 亿美元」，延续了此前对 Southwire（约 90 亿美元）、Rheem Global（约 60 亿美元）的写法；Redact 的清单则几乎就是一份美国大市值企业名录。攻击方在用公开财务数据反向推算支付能力，且不再掩饰这一点。

•︎ 倒计时与状态标签被用来取消谈判前置时间。N0n 的四条直接标 [NOT PAID — EXPOSED]，等于在开口之前就宣布谈判失败；Helix 的 6 小时倒计时则把决策窗口压缩到不足一个工作日。这些设计的目的不是提高金额，而是降低被攻击方做理性判断的概率。

•︎ 匿名是先手，实名是后手。Company #93（医疗支持服务）与 Company #94（汽车零售）只给了行业标签，均挂 PENDING EXPOSURE。先匿名施压、到期再实名公开，是用「暂不点名」换取付款意愿的标准动作，也是当天唯一还能抢出提前量的信号。

八、攻击趋势分析

•︎ 头部名次在 24 小时内翻转，团伙跟踪的价值持续下降。10 月 16 日 thegentlemen 独占 44.6%、10 月 17 日四家并列各 4 起、10 月 18 日 N0n 独占 34.4%、10 月 19 日 qilin 以 29.0% 反超。投放是批次驱动的，团伙的活跃度不再具备跨日延续性。

•︎ 当日收割当日挂牌已固化为常态。当天 96.8% 的条目攻击日与披露日相同，唯一存量仅延迟 7 天。对比 10 月 18 日 settra 一次性释放平均延迟 18.3 天的九月库存，可以看出：库存清仓是间歇动作，实时收割才是底层节奏。这意味着留给防守方的响应时间几乎为零——告警必须先于曝光，事后响应已经失去意义。

•︎ 长尾拉到 13 个团伙，单起团伙占 9 个。参与者数量创近期新高，但 29.0% 的产出只来自一家。生态正在分化为「两三家流水线团伙 + 一批零散小团伙」的结构，中间层在消失。

•︎ 团伙的专业化分工已经成型。fulcrumsec 专攻云端数据库密钥、Redact 专攻美国大市值、Helix 专攻短倒计时、N0n 专攻美国中小实体的接入凭据、qilin 专攻全球广撒网。按团伙分别建模已经不是可选项，而是唯一可行的跟踪方式。

•︎ 地理重心漂移加快。qilin 从 10 月 12 日的韩国、10 月 13 日的瑞典，到当天横跨 9 国且重心回到美国。以国别为单位的暴露面评估，需要把复盘周期压缩到 3–5 天，否则结论在产出时就已经过期。

•︎ 专业服务与医疗健康合计 11 起，占 35.5%，成为当天事实上的主战场。这两个行业的共同特征是数据敏感、IT 薄弱、且受强合规约束。它们的共同问题不是防护不够，而是被拿走的东西一旦公开就无法挽回。

•︎ 窃密器仍是主要入口，与漏洞利用基本脱钩。Redact 命中率 100%、Global Secret Group 34.0%、fulcrumsec 68.0%、N0n 相关条目普遍存在员工与用户凭据记录。口令治理的缺位，使得即便漏洞全部修补，攻击面依然敞开——这是当前投入产出比最高、也最容易被忽视的一环。

九、防守方建议

把云 API 密钥与云权限配置作为独立审计项，并强制短期凭证。fulcrumsec 的全部打法建立在「未轮换的 API 密钥 + 错误的云权限配置」之上，且它不部署加密——这意味着即便端点防护与边界设备全部到位，只要一把长期有效的访问密钥还在代码仓库或配置备份里，攻击链就是完整的。建议对所有云访问密钥设置不超过 90 天的强制轮换、优先迁移到短期凭证与角色扮演，对公网可读的对象存储与数据库实例做一次全量扫描，并把密钥扫描纳入代码提交与镜像构建流程。

把 AnyDesk、Bomgar、Zoho Assist 纳入终端应用管控白名单。SilentRansomGroup 的战术矩阵里明确登记了这三款远程控制工具，并配合语音钓鱼使用。这类工具在大量企业里处于「既未禁止也未监控」的灰色地带。建议在终端 EDR 上为三者的安装与运行建立告警，对非 IT 部门的主动安装行为直接阻断，并对远程会话建立会话录屏与二次审批。

律所与专业服务机构需要为「卷宗外泄」单独准备客户沟通预案。当天三家律所被点名，且两家的数据量在 355–430 GB 之间。建议对案件卷宗、并购底稿与客户身份文件单独划分存储域，实施最小权限与水印审计，对批量下载与外发建立审批与限速，并提前与客户约定外泄通知的口径与时限——在勒索谈判中，客户流失的代价通常高于赎金本身。

供应链上游配套厂应把客户知识产权与自身业务网隔离。POWERsonic 一案中被拿走的 7.5 GB 线束图纸、15 GB 测试原始数据与保密协议，全部属于其客户而并非它自己。建议为客户的图纸、测试与协议文件设置独立存储与访问审批，禁用本地缓存与离线同步，并对与主机厂签署的保密协议相关的目录做下载审计。下游整机厂也应把供应商的保密等级纳入自身供应链安全评估。

员工身份类文件必须从常规业务存储中剥离。POWERsonic 的清单里同时出现了社保号、护照、I-20 签证、劳工批文、W-2 税表、工资单与银行信息。这类文件一旦进入企业文档，就同时是合规风险与勒索筹码。建议对员工身份、签证与薪酬文件做独立加密存储与访问审批，并在收集环节就设定保留期限与过期销毁。

预订与病历系统不要保留原始证件号与卡片验证码。incransom 对 Seetel Hotels 的描述里，客人护照号、身份证号、含验证码与有效期的支付卡信息、饮食禁忌与医疗住宿偏好被一并列出。这些都是业务上几乎不需要长期留存、但泄露后果极其严重的数据。建议对入住与预订流程做字段级最小化，支付卡信息一律走令牌化，历史订单按 90 天周期做字段脱敏归档。

把凭据监测覆盖到第三方与外包人员，并优先采用抗钓鱼的多因素认证。GardaWorld 一处域名就检出 7,258 条口令与 44 个第三方员工凭据。Redact 的 100% 窃密命中率说明入口几乎全部来自终端凭据。建议对所有远程接入通道（SSL-VPN、RDP、堡垒机、SaaS 后台、邮箱）强制多因素认证，接入面向企业域名的凭据泄露监测，对长期未轮换的服务账号与离职账号残留做一次全量失效，并把合作方与外包人员的账号纳入统一生命周期管理。

为 6 小时倒计时预设决策流程。Helix 已连续两天使用 6 小时解锁时限，N0n 则用 [NOT PAID — EXPOSED] 直接取消谈判前置时间。倒计时的设计目的就是压缩理性判断。建议在事件发生前就确定谈判授权人、法务与外部响应商的联络链路、以及对外沟通口径，确保时间压力不会成为仓促决策的理由。

建立匿名编号条目的监控与跟踪机制。Company #93（美国医疗支持服务）与 Company #94（美国汽车零售）目前只暴露行业标签，均挂 PENDING EXPOSURE，历史数据显示这类条目通常在 1–2 天内转为实名。建议对泄露站上的匿名条目建立行业与地域标签的匹配规则，在实名公开前完成内部排查与对外沟通准备。这是目前为数不多能抢出提前量的手段。

最后重申一条：备份解决的是「能不能恢复」，解决不了「数据已经被拿走」。当天的施压筹码全部落在公开威胁上——律所卷宗、客户图纸、员工身份文件、客人护照与卡片信息。防护重心必须从「防止业务中断」前移到「减少可被拿走且有价值的数据」，并对最敏感的那部分做最小化留存与强访问控制。