勒索事件日报：2026年-10月-30日

原创

企业安全实践
企业安全实践

企业安全实践

2026年10月31日 14:00
福建

去阅读

导读

2026年10月30日（UTC）新增42起、15个团伙。Qilin 11起居首，新团伙Genesis两天放大9倍，三家团伙同日围猎律所，北美占一半，中国台湾1起。

一、勒索数据概述

2026年10月30日（周五，UTC 自然日），全球勒索软件泄露站新增受害者条目42起，涉及15个攻击团伙。近十日序列摆在一起：21日40起、22日30起、23日42起、24日33起、25日21起、26日36起、27日43起、28日24起、29日30起、30日42起——42起是本旬第二高位，仅次于10月27日的43起。工作日末尾出现放量，与「周末低谷、工作日高峰」的既有节律吻合。

两个必须交代的口径问题。第一，数字是快照不是终值，且会实时回填：10月27日在本系列发稿时统计为18起，24小时后该站已修正为43起；10月29日的统计更是在同一次抓取的一小时内从21起增长到30起。本文数据截止时间为2026年10月31日00:00 UTC，本次经两次独立抓取交叉验证、面板计数与逐条枚举均为42起。任何基于单日绝对值的涨跌判断都应再等24小时复核。第二，站点国别旗标仍然不能用：42条里只有34条带旗标，且其中至少4条与实际属地不符，本文全部回到条目原文、域名与描述自述逐条核实。

结构上，Qilin 以11起（26.2%）重回第一，新团伙 Genesis 9起（21.4%）紧随其后，Silentransomgroup 6起（14.3%）第三，前三合计26起占61.9%。与10月26日 Qilin 一家吞下17起（47.2%）的极端形态不同，当日头部集中度处在中位，15个团伙里有9个只出1起，长尾很散。

时间结构依旧是即攻即挂，但情报密度低到反常：42条里只有3条给出了攻击预估日——纽约律所 Phillips Nizer 为10月11日（潜伏19天，当日最长）、迈阿密珠宝商 Five Star Jewelers 为10月28日、lyserp.com 为10月29日，其余39条要么攻击日与披露日相同、要么干脆缺失。另有5条为打码条目（Everstake 1条、Silentransomgroup 3条、Doommageddon 1条），匿名化率11.9%。

二、被攻击单位分析（受害者清单）

当日42家被公开点名的主体如下，国别已按条目原文、官网域名与描述自述逐条校正。

几个需要单独拎出来的名字。Susman Godfrey 是美国最顶尖的商事诉讼精品所之一，当日最后一条挂牌；ArentFox Schiff 由 Arent Fox 与 Schiff Hardin 于2022年3月合并而成，兼具律所与游说机构双重身份；两者同属 Silentransomgroup 一日所获。Light Rail Manila 是马尼拉轻轨运营方，当日唯一的公共交通运营主体，具备OT与旅客数据双重属性。KTU Shipyard（PT Karya Teknik Utama）是印尼巴淡岛的老牌修造船厂——站点把它标成菲律宾，描述里却明写 Batam, Indonesia，这是当日最典型的一条旗标错误。

三、行业维度分析

按逐条核实口径，专业服务与法律以9起（21.4%）居首，制造业7起（16.7%）第二，建筑房地产与工程4起，交通运输与物流3起，医疗与零售各2起，教育、科技软件、媒体电信、其他服务各1起，另有11起因描述为空或名称打码无法归类（26.2%）。

真正值得警惕的不是专业服务登顶，而是律所在其中的纯度。9起专业服务里有5起是律所：ArentFox Schiff、Moritt Hock & Hamroff、Susman Godfrey、Phillips Nizer，加上意大利博洛尼亚的劳动法咨询 Studio Stelitano。对照10月22日专业服务首次以9起登顶时律所占3起、由5家不同团伙分头实施，10月30日的律所占比更高、且集中在 Silentransomgroup 与 Ransomhouse 两家手上。这已经不是跨团伙的松散共识，而是有团伙把律所当成了主营赛道。

制造业7起跨度极大：印尼修船厂、墨西哥造纸与纸管、加州电子代工、高空防坠落装备、休斯敦标识制作、圣地亚哥垃圾分选设备，加上一条打码的制造业条目。没有一家是大型工业集团，全部是中型地方制造商，且分属6个不同团伙——这说明制造业不是被某个团伙定向渗透，而是暴露面扫描的天然高密度区。

未披露占比高达26.2%本身就是一个结论：这11条里9条来自 Qilin（全部描述为 N/A），2条是 Silentransomgroup 的打码条目。当一个团伙一天之内挂出11条连行业都不写的记录，它卖的就不是情报、也不是叙事，而是纯粹的倒计时压力。这类条目对防守方的价值只在于「你上榜了」，不携带任何可用于复盘的攻击链路信息。

四、区域维度分析

校正后的区域分布：北美21起（50.0%，其中美国20、加拿大1）、拉丁美洲5起（全部为墨西哥）、欧洲4起（德国、意大利、英国、罗马尼亚各1）、亚太4起（马来西亚、印度尼西亚、菲律宾、中国台湾各1）、中东1起（阿联酋）、非洲1起（科特迪瓦）、属地未标注6起（14.3%）。

若直接采信站点旗标，会得到「美国18起、菲律宾2起」的结论；校正后美国为20起、菲律宾仅1起、印度尼西亚补回1起。当日4条旗标噪声：KTU Shipyard 标菲律宾实为印尼巴淡岛；Rapid Manufacturing 无旗标但描述写明加州阿纳海姆；Service One Transportation 无旗标但描述写明威斯康星；Honghwa International 标 TW 属中国台湾主体。只取旗标会让北美占比从50.0%被低估到42.9%，并凭空多出一个菲律宾。

当日最值得记一笔的是墨西哥。5起墨西哥条目里，4起出自 Qilin（Sistemas Visuales 360、Farmacia I、Grupo Ciosa、Innoe Asesores）、1起出自 Rhysida（Cipsa Industrias）——两家毫无关联的团伙在同一天把墨西哥打成单日第二大国家。对照10月26日 Qilin 的17起散在8个国家、10月29日完全没有墨西哥条目，Qilin 的目标池正在从「全球散射」收缩到「单一国别批量」。对墨西哥及拉美中资与跨国分支而言，这意味着区域性的集中扫描已经启动，而不只是随机命中。

欧洲4起分属4个国家、4个不同团伙，行业零关联，是典型的暴露面命中而非区域渗透。亚太4起里3起在东南亚（马来西亚高校、印尼船厂、菲律宾轻轨），延续了近两周东南亚稳定上榜的态势。

五、攻击团伙分析（团伙分布）

Genesis 是当日最大变量。它10月28日只挂出1起（美国 A&B 实验室），10月30日一天挂出9起，两天放大9倍，站点给它标记了新团伙身份。9起全部落在北美，且全部是20到200人规模的地方性智力服务与地产工程公司：房地产开发与物管、注册会计师所、消费者洞察、职业健康康复、心理测评、建设管理、土木工程、湿地法规咨询、商业地产服务。零制造业、零大型目标、零数据量、零赎金，每条只配一句自动生成的企业介绍。

这代表新团伙冷启动走出了第三条路径。此前两条我们已经见过：一条是10月20日 Mimori 首日即点名 OpenText 与 AVEVA 两家跨国工业软件巨头，靠打大目标证明能力；另一条是10月22日 Lamashtu 复制已验证方向（德国制造与食品加工）。Genesis 走的是第三条——不打名企、也不挑方向，而是批量扫中小专业服务，用数量而不是单点价值完成冷启动。这类团伙威胁等级不高，但覆盖面极广，中小专业服务机构不能再假设「我们不值得被盯上」。

Silentransomgroup（前 Conti / Chatty Spider / UNC3753 / Luna Moth）把律所专项推到了新高度。它在10天内点名的第4、第5家大型律所：10月19日 Latham & Watkins、10月22日 Kirkland & Ellis、10月28日 Morrison Foerster，10月30日一天同时挂出 ArentFox Schiff 与 Susman Godfrey 两家。该团伙历史 TTP 明确包含语音钓鱼与有效账号滥用，累计受害者中专业服务占比接近一半——它是勒索生态里唯一把专业服务当主营赛道的老团伙，而且已经把这条赛道跑成了流水线。

Qilin 11起重回第一，但代价是情报归零。11条描述全部为 N/A，横跨8个国家与地区，行业零重合，是自动化扫描器按命中顺序吐结果的典型形态。这类挂牌只当暴露面告警处理，不必当定向事件复盘。另外两个小变化：Aurora 开始给条目加 [manufacturer] 结构化行业标签，说明泄露站正在向半结构化数据演进；Silentransomgroup 的3条打码条目全部标注 FULL DATA TIMER active，是典型的「先留名分、再倒计时」施压。

六、攻击手法分析

当日42条挂牌中，零条披露初始访问向量、零条涉及具体CVE、零条写明赎金金额或加密范围，这是本系列连续出现的低情报密度日。能提取的技术线索只有以下几条。

唯一给出量化数据的是 N0n。它拿下的阿联酋零售与设施服务商 Minutes Quick Services，清单写明15,832条含全名的工资转账记录。N0n 近期的取数偏好一直在变：10月19日至22日系统性收集 VPN 账号、域控 GPO 与网络拓扑这类「接入枢纽图纸」，10月26日升级到西班牙智能电网的实时电气遥测，当日转向 payroll 与薪酬发放记录——从「能进来」「能看懂产线」再到「能直接动钱」，这条演化路径清晰可辨。工资转账记录可直接用于薪资劫持与员工定向诈骗，危害等级高于普通名录数据。

潜伏期出现两极分化。42条里绝大多数攻击日与披露日相同或缺失，但纽约律所 Phillips Nizer 的攻击预估日是10月11日，潜伏19天才挂牌；迈阿密 Five Star Jewelers 与 lyserp.com 分别为2天与1天。19天的潜伏说明该团伙（Ransomhouse）走的是「先完整榨取、再择机公开」路线，与 Genesis 当日即挂的模式完全相反。对防守方而言，这两类团伙的响应窗口天差地别。

施压机制继续分化。Silentransomgroup 的3条打码条目统一标注「FULL DATA TIMER active」，走的是倒计时逼迫；Doommageddon 的打码条目直接写明 Status: upcoming、Deadline: 2026-11-05T00:00:00Z，给了6天明确窗口期；而 Qilin 的11条则是实名但零信息、不打码也不解释。同样是挂牌，谈判决心与节奏完全不同——有倒计时说明还想谈，纯实名空挂说明只想施压。

七、攻击动机分析

•︎ 律所的筹码不在停机，在职业责任与保密义务。律所停业一天的直接损失有限，但客户尽调材料、并购底稿、未公开诉讼策略与信托账户信息外流，会立刻触发职业责任、监管通报与客户流失三重后果。攻击者的定价模型已经从「你的停机损失是多少」转向「你的合规与声誉后果有多重」。

•︎ Genesis 的9起暴露的是纯粹的规模动机。9条全部零数据量、零赎金、零叙事，连行业都靠一句话带过，说明它根本不指望靠单笔赎金赚钱，目标是尽快把受害者基数做起来、把泄露站的名气立住。这是新团伙最典型的「铺量期」行为，与其说在勒索，不如说在打广告。

•︎ Qilin 的11条空描述则是另一种动机——把挂牌本身当成本极低的批量施压。写一条描述要花人力，不写则可以把扫描结果直接倾泻出去。当挂牌成本趋近于零，泄露站就退化成了一个自动化威胁投递通道，受害者是否真的谈、谈多少已经不重要，重要的是名字出现在列表上。

•︎ Silentransomgroup 同日双点名大所，动机是建立赛道定价权。连续10天、5家大型律所、全部实名公开——它在刻意塑造「我们专打大所、且说到做到」的品牌认知，目的是让后续同类目标在看到倒计时时就倾向于快速谈判。实名本身就是升级手段，这与它同日另3条打码形成鲜明对照：打码是留余地，实名是下通牒。

•︎ 墨西哥的5起集中出现，动机是区域规模效应。两家无关团伙同日命中同一国家，更可能是同一批通用暴露面规则（远程桌面、未打补丁的VPN、暴露的数据库）在该区域集中生效，而非协同行动。

八、攻击趋势分析

•︎ 专业服务赛道正在从「跨团伙共识」退化为「头部团伙的批量品类」。10月22日该赛道首次登顶时由5家团伙分头实施，10月30日的9起则集中在 Silentransomgroup、Genesis、Ransomhouse、Emperador 四家，律所纯度更高。这说明该赛道的暴露面已经被标准化扫描规则覆盖，不再是「谁发现了机会」，而是「谁先跑完扫描」。

•︎ 新团伙的冷启动门槛继续下探，且已分化为三条路径。打名企证能力（Mimori 10-20）、复制已验证方向（Lamashtu 10-22）、批量扫中小专业服务铺量（Genesis 10-30）。第三条路径的出现意味着新团伙入场不再需要任何技术积累，只要能跑扫描器就能开张。

•︎ 头部团伙的目标池出现「全球散射」与「单国批量」两种相反策略。Qilin 10月26日17起散在8国，10月30日11起里5起压在墨西哥；对照10月19日它9起散在7国。同一团伙在不同日子切换策略，说明目标池是按扫描批次组织的，用国别或行业做预判的有效性正在下降。

•︎ 挂牌情报含量持续走低，匿名化形态却在变化。此前缺失主要来自打码留谈判窗口，当日则主要是 Qilin 的「实名+空描述」（11起，26.2%）。这是更不利于防守方的形态——名字已经公开、倒计时的压力已经产生，却没有任何可用于溯因的信息。

•︎ 区域重心稳定但内部结构在动。北美连续多日维持在半数左右，但当日真正的增量信号在墨西哥与东南亚：墨西哥单日5起创本旬新高，东南亚3起分散在马来西亚、印尼与菲律宾。拉美与东南亚正在从偶发命中变成稳定供给。

九、防守方建议

结合当日42起的结构特征，给出六条可立即落地的建议。

•︎ 律所、会计师事务所、咨询与测评机构应把自身当作高价值目标对待。当日9起专业服务不是偶然。重点保护客户尽调材料库、并购底稿、诉讼策略文档与信托账户信息，对这些库做独立加密与最小权限，并把「客户材料外流」单独写进事件响应预案——它与常规数据泄露的通报路径完全不同。

•︎ 中小专业服务机构不能再假设自己不值得被盯上。Genesis 的9起全部是20到200人规模的地方性公司，被盯上的原因只是暴露面，不是价值。无论规模大小，远程桌面、VPN 网关、文件服务器必须纳入常规暴露面巡检，口令与多因素策略不得因「公司小」而简化。

•︎ 在墨西哥、东南亚设有分支或业务的机构应立即做一轮区域暴露面自查。当日墨西哥5起、东南亚3起，且来自多个互不关联的团伙。同一区域被多团伙同时命中，通常意味着该区域存在普遍性的配置缺陷，自查重点放在对外暴露的远程访问入口与未打补丁的边缘设备。

•︎ 工资与薪酬数据需要提高到财务数据同等的保护等级。N0n 当日取走的15,832条含全名工资转账记录可直接用于薪资劫持与员工定向诈骗。建议对 payroll 系统做独立审计、限制批量导出、并对异常批量下载行为建立告警。

•︎ 不要因为「没写赎金、没给数据量」就降低响应等级。Qilin 的11条空描述与 Doommageddon 的6天倒计时，都是施压的一部分。上榜即意味着数据已在对方手中，响应窗口应按「数据已失窃」而非「收到勒索信」来计算。

•︎ 把「名字出现在泄露站」纳入常态化监测。当日绝大多数条目攻击日与披露日相同或缺失，意味着事前预警窗口几乎不存在，发现即已泄露。监测泄露站、域名仿冒与数据样本泄露，比单纯加固入口更能缩短发现时间。