勒索事件日报：2026年-10月-21日

原创

MasterC
MasterC

企业安全实践

2026年10月22日 13:45
福建

去阅读

导读

10月21日全球公开勒索事件40起，涉及15个团伙、18个国家和地区。美国占一半，专业服务与制造业合计近四成，N0n单日9起居首，5条匿名条目仍在倒计时。

一、勒索数据概述

2026年10月21日（UTC），全球勒索软件泄露站公开新增受害者条目40起，涉及15个攻击团伙、18个国家与地区。这是近一周单日披露量的偏高位，但结构上更值得警惕的不是数量，而是其中匿名条目的比例——40起里有5条来自N0n的「Company #99 至 #103」，站方标记为 PENDING EXPOSURE，即数据尚未放出、倒计时仍在走。

从披露节奏看，40条中仅3条给出了可回溯的攻击时间（均为 Scarlettgroup 所为，攻击日分别为10月14日、10月16日、10月18日），其余37条的攻击日与披露日同为10月21日。这并不意味着攻击真的发生在当天，而是绝大多数团伙已经放弃「加密—谈判—再曝光」的老节奏，转向即攻即挂。防守方能拿到的预警时间被压缩到近乎为零。

区域上美国继续占据半壁江山（20起，50%），欧洲8起（德国3、英国2、法国1、爱尔兰1、葡萄牙1），亚太5起（韩国、新加坡、越南、马来西亚、印度各1），拉美2起，非洲1起，另有4条未标注国别。

二、被攻击单位分析（受害者清单）

以下为10月21日全部40条公开条目。未出现中国主体，其中「K.r.. ...s」为站方自身的脱敏条目，非本地处理。

几个值得单独拎出来的目标：美国 Coastal Alabama Community College（社区学院）、印度拉贾斯坦邦警察局（police.rajasthan.gov.in）、NBC 环球（nbcuniversal.com）、Genesys（客户体验云服务商）、Westrock Coffee（年营收约12亿美元）、Hypertherm（年营收约6.5亿美元）。其中拉贾斯坦邦警察局是典型的政务高敏感目标，NBC 环球与 Genesys 则属于头部品牌，社会放大效应远大于赎金本身。

三、行业维度分析

把40条按行业归并后，排在最前面的是专业服务，9起（22.5%）——包括3家律所（O'Flaherty Law、Porter Hedges、LEGAL-RECORDS.US）、5家会计/咨询机构（Sodali & Co、S.R. Snodgrass、MVJ、Lanham Associates、Bruin Group）和1家保险经纪（Adobe Insurance Brokers）。这类机构的共同点是：数据不值钱但合规压力大，客户名单、合同、财务凭证一旦外流，客户会直接追责。

制造业7起（17.5%）位居第二，横跨精密冲压（MECA-PRECIS）、化工（WEPOS Chemie）、PCB 快板（Flextron）、等离子切割（Hypertherm）、纺织机械（Lindauer Dornier）与工业自动化（GSE-M）。制造业被打的核心原因没有变：停产损失按分钟计价，赎金谈判的筹码天然向攻击者倾斜。

医疗健康6起（15%）排第三，且内部结构很分散——养老照护（Heritage Senior Living）、诊所（clinicaromero、olyortho）、医疗器械（ProSomnus）、风湿病诊所（Company #100）、医保管理（Company #99）。医疗行业被反复打击，根源在于可用性即生命这一不可妥协的属性。

其余分布为：IT 与软件4起、零售与消费品3起、传媒与互联网3起、其他/未分类3起，教育、政府、酒店、工程、批发各1起。值得注意的是，BrainCipher 的8个目标全部是单一域名，说明该团伙的策略是按域名批量扫描与突破，不挑体量、不看行业，纯粹追求挂马数量。

四、区域维度分析

美国20起（50%）仍是绝对重灾区，且覆盖行业最全：教育、医疗、法律、保险、食品、传媒、云服务都在其中。这一分布与美国的数字化密度、企业数量基数直接相关，但也与美国公开披露制度更完善、统计更充分有关，读数据时需要扣除这一层偏差。

欧洲8起（20%）中出现了一个明显的集群信号：Lamashtu 一天内拿下 FuG-Gruppe（德国）、MECA-PRECIS（法国）、WEPOS Chemie（德国）三家，全部是德语区及邻近的工业制造 / 系统集成类企业。这不像随机扫描，更像针对德语区中小制造商（Mittelstand）的定向作业——这类企业 IT 预算有限、但业务系统复杂，是性价比极高的目标。

亚太5起（12.5%）中，韩国的韩进信息系统与电信被拖走999个人员账号，新加坡 Flextron 与马来西亚 GSE-M 同属电子/工业制造链条，印度的目标则是邦级警察机关。亚太这一天的共同特征是供应链与政务节点。

拉美与非洲各占阿根廷1起、厄瓜多尔1起、加蓬1起。这几个地区单日量虽小，但长期处于低披露、低防护状态，实际发生率大概率被低估。另有4条未标注国别，占10%，属于站方旗标数据缺失，做区域统计时不应直接忽略。

五、攻击团伙分析（团伙分布）

N0n 以9起（22.5%）居首，但它的9起里有5起是匿名倒计时条目，只有 Heritage Senior Living、韩进信息系统、TheHomeMag NorCal、Xylanpicks 是实名的。这个团伙的经营逻辑很清楚：先用匿名条目占位、逼迫受害者进入谈判窗口，谈判破裂再实名曝光。对防守方而言，匿名期就是唯一的处置窗口。

BrainCipher 8起（20%）全部集中在10月21日20:51至20:55的四分钟内批量挂出，8个域名、跨英美阿爱四国。如此整齐的时间戳基本可以判定为一次性投放的批量产出，而不是8次独立入侵。它更像是在抢勒索站的曝光位与谈判筹码，而非逐个深度经营。

Scarlettgroup 是当天唯一被站方标记为「New Group」的团伙，首日就挂出 Genesys、NBC 环球、拉贾斯坦邦警察局三个高知名度目标。站方明确提示「新兴团伙，需独立验证」——首日即拿下大牌，存在老团伙换皮、或故意用高知名度目标做冷启动造势的可能，建议对其归因保持谨慎。

长尾特征同样明显：15个团伙里有8个当天只出手1次。头部（N0n + BrainCipher）合计占42.5%看似集中，但如果把匿名条目剔除，实际集中度会显著下降——勒索生态正在变得更碎、更不稳定。

六、攻击手法分析

•︎ 窃密器前置是最主要的初始入口。 Coastal Alabama Community College 一条把整条链条摊在了桌面上：HudsonRock 检出该域32名员工设备失陷、57个用户账号、49组第三方凭证，ParanoidLab 同时统计到3022个密码、其中413个高危、26个 cookie。这是一条标准的「窃密器落地 → 凭证复用 → 域内横向 → 勒索加密」路径，勒索只是最后一步。

•︎ 身份目录被整体拖走，而非单点沦陷。 韩进信息系统泄露的是999个人员账号（含姓名与企业邮箱）、派驻客户组织的人员结构、以及第三方供应商账号与其域名。攻击者拿到的不是一台主机，而是 HR 与 IT 的目录核心——这类数据的二次变现价值远高于一次性赎金。

•︎ 政务与教育域名的凭证卫生极差。 印度拉贾斯坦邦警察局域名下检出1409个密码、95个 cookie、3个高危项，且无 MX 记录、未检测到任何主流云或 SaaS 服务；美国社区学院的 SPF 记录里堆叠了数十段第三方服务授权。暴露面越复杂，凭证越容易散落在无人看管的位置。

•︎ 攻击面已从内网延伸到 SaaS 身份。 mvjllp.com 检出 Proofpoint Essentials 与 Microsoft 365，novagroupgbc.com 检出 Microsoft 365 与 Adobe。勒索团伙现在打的是「云邮箱 + SaaS 租户」，而多数中小机构的 EDR 与日志审计并没有覆盖这一层。

•︎ 限时施压成为标准话术。 Helix 在两条记录中都写明「GoFile 链接与口令24小时内解锁」，用倒计时制造决策压力；N0n 则直接在条目上打 [NOT PAID — EXPOSED] 标记与 PENDING EXPOSURE 倒计时，把「不付钱就公开」流程化。

•︎ 合规大棒被当成谈判杠杆。 Interlock 在 Coastal Alabama 的条目里逐条点名 HIPAA、FERPA、GLBA、PCI DSS，并公开宣称要放出学籍记录、受保护健康信息、助学金与贷款信息、人事档案、社保号与支付卡数据。它攻击的不是系统可用性，而是监管合规风险。

七、攻击动机分析

•︎ 财务勒索仍是主线，但赎金只是收入的一部分。 40条里只有少数明示金额，Helix 用「24小时解锁」、N0n 用「NOT PAID — EXPOSED」把施压动作标准化。真正的收益结构已经变成「赎金 + 数据二次售卖 + 下游诈骗」三件套。

•︎ 数据倒卖驱动目标选择。 韩进的999人组织目录、社区学院的社保号与支付卡数据，是钓鱼、身份盗用、供应链诈骗的直接原料。这类数据有稳定买家，攻击者并不需要受害者付钱也能变现。

•︎ 合规与声誉胁迫被刻意放大。 Interlock 点名四项法规、Scarlettgroup 首选 NBC 环球与邦警察局，说明「能不能逼出钱」越来越取决于目标的社会可见度与合规压力，而不是数据本身的价值。

•︎ 「刷榜单」动机压过精细化经营。 BrainCipher 四分钟挂8个域名、N0n 一天挂9条（其中5条匿名），都指向团伙在抢占泄露站曝光位、积累谈判样本，而不是对单个目标做长期潜伏。

•︎ 象征性目标的战略价值。 邦级警察机关、社区学院、跨国传媒集团——这类目标被打，本身就是给其他潜在受害者看的广告，其威慑收益高于赎金收益。

八、攻击趋势分析

•︎ 匿名倒计时条目正在常态化，这是防守方唯一还能抓住的窗口。 N0n 一天挂出 Company #99 至 #103 五条 PENDING EXPOSURE，行业、城市、业务类型都写在描述里（葡萄牙工程设计、纽约网络与IT服务、达拉斯批发分销、加州风湿病诊所、瓜亚基尔医保管理）。结合既往观察，匿名条目通常在1至2天内转为实名——看到同行业、同地区的匿名条目，就该立刻动手。

•︎ 中小企业的 SaaS 化攻击面被系统性收割。 BrainCipher 的8个目标全是单一域名，说明攻击者按域名批量打、不挑体量。对员工规模在数十人到数百人的机构而言，M365 / Adobe / Salesforce 这类 SaaS 租户已经是事实上的主战场，而它们通常不在传统的边界防护视野内。

•︎ 新团伙持续冒头，归因难度上升。 Scarlettgroup 首日即挂三个高知名度目标并被站方标注「需独立验证」。勒索团伙换皮、复用基础设施、互相借用泄露站已是常态，基于名称的团伙统计只能作为参考，不应作为处置依据。

•︎ 制造业与医疗仍是压舱石。 制造7起、医疗6起，两者合计占32.5%。这两个行业有一个共同点：停机的代价不可承受，因此赎金支付的意愿也最高，攻击者对此心知肚明。

•︎ 披露延迟被压缩，防御窗口前移。 除 Scarlettgroup 三条可回溯3至7天外，其余37条攻击日与披露日重合。这意味着事后响应已经来不及，防护重心必须前移到凭证卫生、窃密器监控与暴露面收敛。

•︎ 长尾团伙密度上升，生态更碎。 15个团伙中8个当天只出手1至2次。头部看似集中，实际是大量小团伙在短周期里反复进出，防御侧很难靠跟踪单一团伙来降低风险。

九、防守方建议

•︎ 先把密码这件事做干净。 社区学院413个高危密码、邦警察局1409个密码，问题不在技术先进性，而在最基础的口令复用与明文存储。强制 MFA、禁用明文口令保存、对第三方供应商账号设置独立口令并定期轮换，是投入产出比最高的三件事。

•︎ 把窃密器情报纳入常态监控。 一旦本域凭证出现在 HudsonRock 这类窃密器日志中，就应立即强制改密、吊销全部活动会话、排查该账号近30天的访问轨迹。社区学院的案例里，32台失陷设备就是32条可用的入口。

•︎ 收敛身份目录的可见面。 韩进999个账号目录被整体拖走，说明 HR / AD 目录必须做最小权限与字段脱敏，派驻客户关系、供应商域名这类高价值关联信息不应放在可被单点拖走的库里。

•︎ 把 SaaS 身份纳入统一 IAM 与日志审计。 M365、Proofpoint、Adobe、Salesforce 这些租户往往游离在 EDR 与 SIEM 之外。至少要做到统一 SSO、统一审计日志采集与异常登录告警。

•︎ 教育、医疗、政务做专项加固。 这三类当天全部命中，且共同特征是合规压力大、预算紧张、历史系统多。优先做 3-2-1 备份隔离（其中一份离线或不可变）、EDR 全覆盖、以及每年至少一次的事件响应演练。

•︎ 把匿名期当成处置窗口来用。 情报里出现「本行业 + 本地区」的匿名倒计时条目时，立刻启动口令轮换、日志回溯与外部暴露面排查，不要等到实名曝光才开始响应。

•︎ 别把宝押在团伙归因上。 新团伙换皮频繁、基础设施复用普遍，防守策略应该围绕攻击手法（凭证、窃密器、SaaS 身份、备份）来建，而不是围绕某个团伙名称来建。