勒索事件日报：2026年-10月-22日

原创

MasterC
MasterC

企业安全实践

2026年10月23日 13:35
福建

去阅读

导读

10月22日全球公开勒索事件30起，涉及11个团伙、10个国家和地区。专业服务与法律机构占三成，五家团伙同日点名律所与会计师事务所；德国清洁化学品企业被拖走2.52TB数据，TLS私钥一并外泄。

一、勒索数据概述

2026年10月22日（UTC），全球勒索软件泄露站公开新增受害者条目30起，涉及11个攻击团伙、10个国家与地区，另有3条未标注国别。较前一日的40起回落25%，处于近十日的中间水位。

真正值得看的不是数量，是结构。这一天30起里有9起（30.0%）是律所、会计师事务所、税务顾问与财务顾问，创下近期单日专业服务占比的新高——对照10月21日的22.5%、10月19日的三家律所被点名，这不是某一家团伙的偏好漂移，而是五家互不相关的团伙在同一天做出的同一选择。

头部集中度中性：N0n 7起（23.3%）、Qilin 5起（16.7%）、SilentRansomGroup 4起（13.3%），前三合计16起占53.3%；11个团伙里有6个当天只出手1次。时间结构上，28起（93.3%）的攻击日与披露日重合，仅两条差1天（Bethany Press 与加拿大两家知识产权律所，均为10月21日攻击、10月22日挂出）。即攻即挂已经成为默认节奏，事后响应的空间被压缩到近乎为零。

二、被攻击单位分析（受害者清单）

以下为10月22日全部30条公开条目。本日清单中未出现中国主体，其中「M... C...」「M...r」「K.r.a. ...s」为站方自身的脱敏条目，非本地处理。

重量级名字有三个：Kirkland & Ellis（全球营收最高的律所之一）、PwC（四大会计师事务所）、Linebarger Goggan Blair & Sampson（美国政府税收与欠税催收领域的头部律所）。此外，加拿大两家头部知识产权事务所 Bereskin & Parr 与 Smart & Biggar 被 Incransom 打包成一条条目挂出，这种\"一条打两家\"的做法在勒索站上并不常见，说明攻击者拿到的是共享的托管或审计凭据。

另一个观察点是清单的\"信息密度\"：30条里，SilentRansomGroup 的3条全部脱敏、N0n 的6条全部是编号条目、Qilin 有4条描述为空——真正给出可读情报的条目不足一半。做情报分析时如果只统计实名条目，会把当日风险显著低估。

三、行业维度分析

专业服务与法律9起（30.0%）排在第一位，内部结构是6家律所加3家会计税务机构：Kirkland & Ellis、Linebarger Goggan Blair & Sampson、Barrow & Grimm、Bereskin & Parr / Smart & Biggar、加州家庭法律师（Company #104）；SGLA 会计师事务所、PwC、德国 VERGI Muenster 税务咨询，另有芝加哥的财务顾问与重组机构（Company #106）。

这类机构被打的逻辑与制造业完全不同。律所自身的 IT 系统通常不复杂，停业一天的账面损失也有限，但它手里握着客户的并购底稿、尽职调查材料、信托账户流水、税务申报与诉讼策略——一旦外流，触发的是职业责任与监管后果，而不是业务中断。赔付意愿由保密义务驱动，与可用性无关，攻击者对此算得很清楚。同一天五家团伙分别出手，说明这条逻辑已经是跨团伙共识。

制造业3起（10.0%）：德国 DR.SCHNELL（清洁与卫生化学品）、德国 Hecker Holzsystembau（木结构装配式建筑）、西班牙 Airtificial（航空航天与智能工程）。零售与电商3起（10.0%）：美国 Performance Ford（汽车经销）、土耳其 istanbultrading.com、美国 Bethany Press International（宗教出版与印刷）。

酒店餐饮与接待2起（美国 United Restaurant Supply、澳大利亚 Bathurst RSL），医疗与照护2起（美国 Annapath 皮肤病理实验室、法国 AMSAM 社会医疗与居家照护），农业食品、教育各1起，其余9条为未分类或站方脱敏条目。

医疗与制造业这两天的相对沉默值得注意——它们在10月中旬长期占据行业榜首（10月16日医疗12起、制造7起），而10月22日合计只有5起。资金与目标正在向\"合规压力型\"机构迁移，这一位移比单日数量的涨跌更有指示意义。

四、区域维度分析

北美15起（50.0%）：美国12起、加拿大2起、墨西哥1起。美国条目覆盖法律、会计、医疗、汽车零售、出版、餐饮、批发分销七个方向，其中法律服务一项就占了4起。欧洲9起（30.0%）：德国4起、瑞士、法国、英国、西班牙、保加利亚各1起。亚太2起（均为澳大利亚）、中东1起（土耳其），另有3条未标注国别。

欧洲这一侧出现了明确的集群信号：德国4起中有3起来自同一个团伙 Lamashtu（木结构建筑 Hecker Holzsystembau、巴伐利亚啤酒厂 Gräfliches Hofbrauhaus Freising、税务咨询 VERGI Muenster），第四起是 Rhysida 打的 DR.SCHNELL。Lamashtu 的历史第一目标国就是德国（累计14起），当天三起全部落在其历史前五行业之内。这不是随机扫描，是针对德语区中小企业的定向作业。

需要提醒的是站方旗标数据有明显噪声，做区域统计必须回条目原文核对。Medienwerkstatt 旗标为德国，但描述自称\"图尔高州（canton of Thurgau）最大的媒体服务商之一\"，实体在瑞士；Airtificial 无旗标，实为西班牙航空航天企业；Annapath 无旗标，描述写明服务马里兰、特拉华、宾州、华盛顿特区、弗吉尼亚与西弗吉尼亚，实为美国；Bethany Press International 同为美国机构但无旗标；N0n 的4条美国条目（辛辛那提、芝加哥、纽约、加州）地域只写在描述文字里，同样没有旗标。另有 VERGI Muenster 被标为\"能源与公用事业\"，实际是税务咨询与商业顾问；istanbultrading.com 旗标土耳其，但描述自称经营计算机设备与外设，行业口径自相矛盾。

只取旗标会得出\"美国6起、德国5起\"的错误结论，校正后应为美国12起、德国4起，北美占比也会从约23%跳到50%。这个偏差幅度足以推翻整个区域结论，是每日必做的核对动作。

五、攻击团伙分析（团伙分布）

N0n 以7起（23.3%）居首，其中6条是编号条目（Company #104 至 #109），全部标记 PENDING EXPOSURE，行业与城市写在描述里：辛辛那提的管道与厨卫分销、芝加哥的财务顾问与重组、纽约的钻石与培育钻石贸易、加州的家庭法律师、蒙特利尔的无障碍媒体制作、保加利亚的燃料贸易与建材。唯一实名的 Performance Ford 被取走「网络安全配置、站点间私有网络隧道定义、内部网络地图与设备清单」，标记 [NOT PAID — EXPOSED]。该团伙累计147起、34国，窃密器关联率63.6%，泄露站在线率91.9%。

Qilin 5起（16.7%）散布在墨西哥、美国、澳大利亚（2起）、西班牙四国，行业零重复，且5条中有4条描述为空——只挂名字不叙事，是典型的自动化暴露面扫描流水线产出。

SilentRansomGroup 4起（13.3%）是当天分量最重的一家。它是前 Conti 团队（又名 Chatty Spider / UNC3753 / Luna Moth），累计173起中专业服务85起（49%）、金融服务42起（24%）、美国122起——整个勒索生态里唯一把专业服务当主营赛道的老团伙。当天点名 Kirkland & Ellis，是它历史上最重量级的目标之一。其战术链明确包含语音钓鱼（Voice Phishing）、有效账号、云存储数据外传与 USB 外传。另外3条为脱敏条目，状态标记为「FULL DATA TIMER active」。

Lamashtu 3起（10.0%）是当日最大新变量。该团伙2026年4月首现，累计53起、18国，平均攻击到披露延迟仅2天，泄露站在线率46.5%，站方明确提示尚未确认其是否部署真正的加密勒索（可能纯数据窃取勒索）。历史偏好是制造16起、农业食品5起、专业服务5起、能源4起，德国14起居首。当天3起全部在德国，其中2起落在历史前二行业，1起落在历史前五——这不是试新方向，是清仓已经跑通的方向。

Bravox 2起（6.7%）值得单独看。这是一个2026年1月在 RAMP 地下论坛打广告出道的 RaaS，主打美国医疗与零售，特点是对附属成员严格准入（要求提供访问证明或缴纳押金），累计34起、11国，在线率86.6%，攻击速度环比 +150%。当天它同时拿下法国社会照护机构 AMSAM 与美国俄克拉何马州商业诉讼律所 Barrow & Grimm——后者单域检出97个密码、3个高危项。严格准入型 RaaS 开始向欧洲社会服务与美国法律服务业扩线。

Akira 3起（10.0%）是当天唯一给出明确数据量的一家（40 GB / 130 GB / 110 GB）。该团伙累计1649起、71国，制造454起、专业服务379起，是当天体量最大的老牌团伙；其初始访问高度依赖Cisco VPN 单因素暴力破解，并大量利用 FortiOS（CVE-2022-40684）、SonicWall SSL-VPN（CVE-2024-40766）、Veeam（CVE-2024-40711）、VMware ESXi（CVE-2024-37085）等已知漏洞。

其余长尾中，Everest 2起（PwC 与 Linebarger）延续其\"头部品牌优先\"的挂牌策略——累计421起、38国，攻击速度 +42%，但泄露站在线率只有27.7%，说明它更在意曝光位而非谈判流程；Lockbit5、Rhysida、Spacebears、Incransom 各1起。11个团伙里6个当天只出手1次，长尾密度依然很高。

六、攻击手法分析

•︎ TLS 私钥进入勒索清单，这是当日最危险的一项。 Rhysida 打德国 DR.SCHNELL 的条目把整包内容摊在了桌面上：175,151个文件、2.52 TB，其中1.2 TB 以上是 Navision / Business Central 的 ERP 备份（客户、定价、采购的完整历史）；德国、瑞士、奥地利三国的 HR 与工资数据（家庭住址、私人邮箱、含社保号与税号的工资单、长期病假名单）；家族办公室会计资料（数十家关联实体的签署年报、银行对账单、一份3500万欧元信贷额度协议）；CEO 个人卷宗（有效护照、身份证、税号、11年签名纳税申报）。最后一段才是要害——访问类材料：*.dr-schnell.de 的 TLS 私钥、约120份 Elster 税务证书、O365 管理员口令、口令清单。前四类是偷数据，最后一类是交出\"继续进入的能力\"：私钥在手，即使受害者改掉所有口令，攻击者仍可解密历史流量、伪造站点身份。

•︎ 凭证暴露面依然是现成的入口。 西班牙 Airtificial 单域检出464个密码、其中100个高危，同时有7名员工设备失陷、10个用户账号、34组第三方凭证、外部攻击面6个；美国律所 Barrow & Grimm 97个密码、3个高危；澳大利亚 Bathurst RSL 与 Creative Universe 各37个密码；德国 Gräfliches Hofbrauhaus 18个。这些不是理论风险，是可直接复用的登录凭据。

•︎ N0n 只取网络拓扑与隧道定义，不取整包数据。 Performance Ford 一案写得很具体：「汽车零售商的网络安全配置；站点之间的私有网络隧道定义；内部网络地图与设备清单」。这与10月19日取 Vormittag 的远程访问凭据、Finzly 的云拓扑与访问密钥，10月20日取 51Ridge 的完整网络配置与站点到站点 VPN 架构完全同源——它在系统性地收集\"接入枢纽的图纸\"。这类材料的二次入侵价值高于数据本身，也解释了它为什么能维持34国的目标池。

•︎ Akira 把数据清单做成商品说明书。 三条文案结构完全一致：「We will upload N gb of corporate data soon. Employee personal information (...), customer information, contracts and agreements」，数据量分别写死为40 GB、130 GB、110 GB，其中 Annapath 一条精确到\"护照与其他个人文件\"。把数据规模直接写进标题当定价锚点，不谈赎金、不谈加密。

•︎ 生成式画像继续用于头部目标，成本为零。 Kirkland & Ellis、PwC、Linebarger 三条描述全部是站方 AI 生成的百科式介绍（总部位置、业务线、行业地位），团伙没有提供任何独家证据。这类\"看起来专业\"的挂牌正在成为大牌目标的标配，读的时候要警惕：内容详实不等于攻击可信。

•︎ 限时施压话术已经流程化。 N0n 6条 PENDING EXPOSURE、SilentRansomGroup 3条「FULL DATA TIMER active」、Spacebears 对 SGLA 写明「倒计时结束后可自由下载若干片段，完整档案需联系我们的经理」——三种不同的措辞，同一个目的：把决策窗口压到受害者来不及做完整评估。

七、攻击动机分析

•︎ 赎金之外的二次变现已是主线。 DR.SCHNELL 那份清单里，3500万欧元信贷额度协议、CEO 11年签名纳税申报、三国员工的社保号与病假名单——这些不是拿给受害者看的筹码，是拿给买家看的货单。受害者付不付钱，不影响这批数据的变现能力。

•︎ 律所与会计所被打，本质打的是保密义务。 Kirkland & Ellis、Bereskin & Parr / Smart & Biggar、SGLA 这类机构停业一天的账面损失有限，但客户信息外流会直接触发职业责任、客户流失与监管问询。攻击者的定价模型不是\"你的停机损失是多少\"，而是\"你的合规与声誉后果有多重\"。

•︎ 合规大棒被明码标价。 DR.SCHNELL 一案特意把\"长期病假名单\"标注为 GDPR Art.9 数据单独列出；Rhysida 的历史偏好里教育与医疗合计109起，同样是冲着监管敏感数据去的。攻击者比不少企业自己更清楚哪一条罚款更重。

•︎ 老牌团伙在抢品牌目标的威慑收益。 Everest 挂 PwC、SilentRansomGroup 挂 Kirkland & Ellis，赎金未必收得到，但\"四大\"与\"全球顶级律所\"这两个名字挂在泄露站上，本身就是给其他潜在受害者看的广告。Everest 攻击速度 +42%、在线率却只有27.7%，恰恰说明它更在意曝光位而不是谈判流程。

•︎ 新团伙在抢完成度，不是抢知名度。 Lamashtu 一天3起全在德国、全落历史前五行业，平均延迟只有2天——它在积累可复用的作业模板。对照10月20日 Booba Project 的6起里5起落历史前三大行业，可以看到新团伙的冷启动路线已经从\"造势\"转向\"复制\"。

八、攻击趋势分析

•︎ 专业服务正在取代医疗与制造成为第一靶心。 当日9起（30.0%），由五家不同团伙分头实施；对照10月21日专业服务9起（22.5%）、10月19日三家律所被三家不同团伙点名——跨团伙的共识已经形成。律所、会计师事务所、税务与财务顾问应当把自己当作高价值目标来防护，而不是\"我们只是小机构、没人会打我们\"。

•︎ TLS 私钥与访问类凭据开始进入勒索清单，止损动作需要升级。 DR.SCHNELL 的 *.dr-schnell.de 私钥、120份税务证书、O365 管理员口令被整包挂出，意味着传统的\"改口令 + 重置会话\"已经不够，证书吊销与重签必须写进事件响应清单。

•︎ 新团伙的起步路线在收敛，\"新团伙等于不成熟\"的判断已经失效。 Lamashtu（2026年4月首现，累计53起）一天3起全德国、2起落历史前二行业；对照10月20日 Booba Project、10月17日 BYOD、10月14日 Kairos——新团伙不再试错，而是直接清仓已验证的行业与地域组合，起量速度比老团伙更快。

•︎ 匿名化与编号条目合计占30%。 SilentRansomGroup 的3条打码加 N0n 的6条编号共9起，再叠加 Qilin 4条实名但描述为空的条目，当日真正给出可读情报的不足一半。做情报分析时只看实名条目会系统性低估风险；反过来，编号条目里写明行业与城市的（如\"加州家庭法律师\"\"纽约钻石贸易\"）本身就是可用的预警信号。

•︎ 攻击到披露的延迟被压到近乎为零。 28起（93.3%）攻击日与披露日重合，仅2起差1天。事后响应的边际价值在下降，防护重心必须前移到凭证卫生、窃密器监控与暴露面收敛这三件事上。

•︎ VPN 与备份软件仍是老牌团伙的默认入口，且利用的是已知漏洞。 Akira（1649起）的初始访问集中在 Cisco VPN 单因素暴力破解，以及 FortiOS、SonicWall SSL-VPN、Veeam、VMware ESXi 的 CVE；Spacebears 与 Rhysida 同样登记了 Check Point IKEv1（CVE-2026-50751）、Nx Console（CVE-2026-48027）、Exchange（CVE-2023-21529）、ScreenConnect（CVE-2024-1708）。打补丁、上多因素，这两件事的投入产出比仍然远高于任何新设备。

九、防守方建议

•︎ 律所、会计师事务所、税务与财务顾问要单列防护标准。 客户尽调材料、并购底稿、信托账户（IOLTA）、税务申报、诉讼策略应独立分域存储、独立权限、强制 MFA 与访问审计。当天9起专业服务目标中，绝大多数是被通用办公环境（邮件、VPN、文件服务器）打穿的，不是被专业业务系统打穿的。

•︎ 把证书与私钥纳入事件响应清单。 一旦确认私钥外泄，立即吊销并重新签发（不只是改口令），同时排查历史加密流量是否存在被解密的风险。DR.SCHNELL 的教训很直接：私钥是\"再进入\"的钥匙，改口令挡不住。

•︎ ERP 与备份库必须与域凭据隔离。 1.2 TB 的 Navision / Business Central 备份被整包拖走，说明备份存储既用了域账号、又在通用文件服务器可达范围内。备份库应使用独立凭据、独立网络区域、静态加密，并禁止通过域管理员单点访问。

•︎ HR 与工资数据做最小权限与字段级保护。 含社保号、税号、病假记录的数据属于 GDPR Art.9 特殊类别（国内对应个人信息保护法的敏感个人信息），应独立权限、独立审计、禁止批量导出，并加水印与下载告警。

•︎ VPN 与远程接入全部强制多因素，并优先修补已知 CVE。 Akira、Spacebears、Rhysida 三条互不相关的工具链都指向 VPN 单因素与已知漏洞（FortiOS、SonicWall、Veeam、ESXi、Check Point IKEv1、ScreenConnect、Exchange）。这两件事的成本远低于一次事后响应。

•︎ 网络拓扑、隧道定义与设备清单要当敏感资产管。 N0n 已连续多日只取这类材料。把它们移出通用文件服务器、限制可读范围、加水印与访问审计——对攻击者来说，图纸比数据更值钱。

•︎ 语音钓鱼要写进 helpdesk 流程。 SilentRansomGroup 的战术链明确包含 Voice Phishing；口令重置、MFA 设备变更、VPN 账号开通这三类请求必须双人复核并回拨验证，不接受\"来电即办\"。

•︎ 把窃密器情报纳入常态化监控。 西班牙 Airtificial 464个密码（100个高危）、美国 Barrow & Grimm 97个密码（3个高危）——一旦本域凭证出现在窃密器日志中，立即强制改密、吊销全部活动会话、回溯该账号近30天的访问轨迹。失陷设备就是可用的入口，越早处置越便宜。