勒索事件日报：2026年-10月-29日

原创

企业安全实践
企业安全实践

企业安全实践

2026年10月30日 14:00
福建

去阅读

导读

2026年10月29日（UTC）新增30起、11个团伙。两个全新团伙Shiba与Everstake同日首发各4起，Booba 7起集中打击美国地方政府，Sunnybrook医院上榜。

一、勒索数据概述

2026年10月29日（周四，UTC 自然日），全球勒索软件泄露站新增受害者条目30起，涉及11个攻击团伙、11个国家与地区，另有5条因域名打码或缺失旗标无法判定国别。近十日序列摆在一起：19日31起、20日25起、21日40起、22日30起、23日42起、24日33起、25日21起、26日36起、27日43起、28日24起，29日的30起处在中位区间，没有异常放量也没有明显收缩。

两个必须交代的口径问题。第一，数字在持续回填：10月27日在本系列发稿时统计为18起，24小时后该站已修正为43起；本次抓取过程中，10月29日的统计在一小时内从21起增长到30起。本文数据截止时间为2026年10月30日00:00 UTC，是快照不是终值，任何基于单日绝对值的涨跌判断都应再等24小时。第二，站点国别旗标仍然不可用：30条里只有20条带旗标，本文全部回到条目原文、官网域名与描述自述逐条核实。

结构上，第一名 Booba Project 7起仅占23.3%，前三合计15起刚好一半，11个团伙里有4个只出了1起。对照10月26日 Qilin 一家吞下17起（47.2%）、10月27日 Booba Project 10起，当日头部集中度继续处在近期低位，参与者分散而彼此不重合。

时间结构仍是即攻即挂：30起中26起（86.7%）的攻击预估日与披露日相同，只有4起存在间隔且全部是10月28日入侵、29日挂牌——西班牙 Udima、英国 W Interactive、泰国 XSpring Capital、墨西哥 Susanne Cerdá。潜伏期最长1天，事前预警窗口基本不存在。另有4条由 Everstake 挂出的条目域名全部打码，匿名化率13.3%。

二、被攻击单位分析（受害者清单）

以下为当日全部30条公开条目，按泄露站上架顺序排列。国别一栏已回到条目原文并结合域名后缀、描述自述与实体公开信息逐条核实，括号中标注了与站点旗标不一致之处。

五条美国目标被旗标整个漏掉：Friendly Senior Living（无旗标，实为纽约州罗切斯特的老年生活社区）、Morgan White Group（无旗标，实为密西西比的保险营销机构）、ClaimTek Systems（无旗标，实为美国本土的医疗账单创业培训机构）、INTAX（无旗标，描述自述肯塔基列克星敦）、MAA Group（无旗标，据名称与描述推断为马来西亚工程咨询）。另外 rolly.io 被标为英属印度洋领地，实际是 Arbitrum 链上的加密赌场，根本没有属地，不应计入任何区域统计；Antwerp House Dentistry 的描述自述“Cambridge, London”，把剑桥与伦敦混为一谈，按剑桥计入英国。

当日没有中国内地及中国港澳台主体上榜。

三、行业维度分析

按逐条核实口径，当日行业分布为：金融与保险5起（印度 AU Small Finance Bank、美国 National Association of Credit Management、Morgan White Group、泰国 XSpring Capital、一家打码的保险代理）、政府与公共管理4起（犹他州 South Weber City、路易斯安那 Terrebonne Parish、俄亥俄 Circleville 警局、南卡罗来纳州首府 City of Columbia）、专业服务与咨询4起（INTAX 财产税合规、MAA Group 工程咨询、Susanne Cerdá 企业服务、corp-smart.com 合规）、医疗与健康3起（Sunnybrook 教学医院、Friendly Senior Living 养老护理、Antwerp House 牙科）、制造业3起（日本 Proterial、IT Foods、LifeFone 医疗警报设备）、教育2起（西班牙 Udima、加州学校董事会协会），另有零售与汽车经销2起，电信、人力资源、化工、加密博彩、非营利、职业培训、未披露各1起。

第一条判断：“政府与公共管理”第一次以4起独立成类，且4起全部在美国。本系列近两周里，地方政府通常每日0到1起，偶尔2起。一天之内市政、教区、警局、州府四个层级同时上榜，且分散在 Booba Project 与 Qilin 两家团伙，说明这已经不是某一家团伙的个人偏好，而是跨团伙形成的品类共识。

第二条判断：金融与保险以5起居首，但5家里没有一家大型商业银行。印度的小型金融银行、美国的信用管理行业协会、保险营销机构、泰国的上市投资公司、一家打码的保险代理——金融赛道正在从头部银行下沉到“持牌但规模不大”的中小机构。这与10月27日 Qilin 连打两家美国社区信用合作社是同一条曲线：大行的防护水位已经抬高，攻击者转向监管义务同样刚性、但安全投入明显更薄的中小持牌机构。

第三条判断：医疗赛道的结构与前一日正好相反。10月28日 Rhysida 打的两家全是“医疗周边智力服务”——医疗养老建筑设计事务所、健康经济与结果研究咨询，当天没有一家医院上榜；10月29日则是多伦多的教学与研究医院、老年护理社区与牙科诊所，从周边回到了服务端本体。教学研究医院同时承载临床、科研与教学三套数据，边界最难切，也是当日分量最重的单一目标。

四、区域维度分析

按逐条核实口径：北美14起（46.7%），其中美国13起、加拿大1起；欧洲5起（16.7%），英国2起、西班牙、意大利、奥地利各1起；亚太4起（13.3%），日本、印度、泰国、马来西亚各1起；拉美1起，墨西哥；无属地1起（rolly.io）；未标注5起（16.7%）。

旗标口径与核实口径的差距值得单独记一笔。如果直接采信旗标，会得到美国9起、北美10起（33.3%），亚太只有3起；核实之后美国是13起、北美14起（46.7%），北美占比被低估13.4个百分点，马来西亚被整个漏掉。这已经是本系列连续多日复现的系统性偏差，区域结论不能建立在旗标字段上。

美国13起的内部结构也变了：其中9起来自两家团伙——Booba Project 7起全部是公共事务类主体，Qilin 2起是南卡州府市政与电信以外的散点；剩下4起分散在 Rhysida 2起、Global Secret Group 1起与另一家。美国目标不再是全国散点随机命中，而是两家团伙各自锁定一个品类定向扫描。这个变化比总量更有意义：它意味着防守方可以按“自己属于哪个品类”来预判自己会不会被扫到。

欧洲5起散在4个国家、由4个不同团伙实施，行业之间零关联——典型的暴露面命中，不构成方向性威胁。亚太4起里，日本 Proterial（原日立金属）是分量最重的一家，也是当日唯一的大型工业目标。

五、攻击团伙分析（团伙分布）

当日最大变量是两个全新团伙同日首发，且各以4起开局。把本系列近两周的新团伙首日规模排一排：10月14日 Kairos 首发1起、10月17日 BYOD 首发1起、10月20日 Mimori 首发2起但直接点名 OpenText 与 AVEVA 两家跨国工业软件巨头、10月21日 Whitearmor 首发3起。Shiba 与 Everstake 是第一次出现“首日4起且零叙事”的组合——不给数据量、不给赎金、不给倒计时，连一句完整的企业介绍都没有，只有一行行业标签。

这个组合说明一件事：新团伙的冷启动门槛还在下探。过去的逻辑是“首日打一个大目标证明能力”，现在的逻辑是“先把坑占上，名字挂出来就算成功”。泄露站正在从能力展示场退化成低成本广告位。对防守方而言，这类零叙事挂牌的威胁等级应按“暴露面扫描命中”评估，而不是按“已确认入侵”评估——它很可能连自己打的是谁都还没搞清楚。

Booba Project 7起重回单日第一（10月20日首次登顶6起、10月27日10起），方向收缩得非常清楚：7起里6起是美国公共事务类主体——市政、教区、警局、学校董事会协会、非营利组织、行业协会，第7起 LifeFone 做的是面向老人的医疗警报设备。从“机构类型”细化到了“服务对象为脆弱人群的地方公共服务”。这类机构的共同点是数据杂、预算薄、且一旦出事必须公开。

老牌团伙普遍低量运转：Qilin 4起描述全为 N/A（延续10月26日17条全空的流水线形态）、Lockbit5 2起、Rhysida 2起、Emperador 2起、Scarlettgroup 2起、Krybit 1起、Global Secret Group 1起。值得注意的是 SilentRansomGroup 当日缺席——它前一日刚以4起并列第一并连续点名 Am Law 百强律所，但10月28日已挂出 Lowenstein Sandler、10月30日凌晨又挂出 Susman Godfrey，律所专项并未停止，只是不在当日统计窗口内。

六、攻击手法分析

情报密度继续走低：30条中无一条披露 CVE 编号、初始访问向量、赎金金额或口令暴露数量。唯一给出量化信息的只有 Booba Project——它在7条里都自报了数据量，其余团伙连多少 GB 都不写。

从团伙历史画像可以反推出几条可用的技术线索。Qilin 的4条描述全为 N/A，与其10月26日17条空描述的形态一致，是自动化暴露面扫描器按命中顺序吐结果，不是人在挑目标。Lockbit5 历史上偏好 VPN 与远程访问的旧凭据（10月15日曾命中 FortiBleed CVE-2022-40684 的 FortiOS SSL-VPN 凭据），当日两条都是域名挂牌。Rhysida 在 INTAX 条目里直接写“Complete file server”，整台文件服务器打包带走，延续它10月11日直指律所 IOLTA 信托账户 ACH 指令的高精度取数偏好。Emperador 历史已知利用漏洞5个（Check Point IKEv1 CVE-2026-50751、Nx Console CVE-2026-48027、Exchange CVE-2023-21529、ScreenConnect CVE-2024-1708、Windows CVE-2025-60710），当日 LA PROFUMERIA 的描述点名“员工个人与企业存档数据”。

打码本身是一种战术。Everstake 的4条域名全部打码，一次性完成两件事：给谈判留窗口，同时隐藏自己的真实能力边界。看不出它打了谁，也就看不出它到底有多大本事——对一个刚起步的团伙来说，这是成本最低的自我保护。对比之下，老团伙打码是为了谈判节奏，新团伙打码是为了不露怯，动机并不相同。

Booba Project 自报的数据量梯度有情报价值：犹他州市政295 GB、路易斯安那教区105 GB、非营利组织95 GB、加州学校董事会协会80 GB、信用管理协会38 GB、俄亥俄警局15 GB、LifeFone 不足1 GB。地方政府与协会这类“什么都存”的机构才有大批量数据，执法机构的数据治理反而更集中。如果你所在的组织被它挂牌，这个梯度可以直接用来估算自己的暴露面大概在哪个量级，优先排查大容量共享目录与归档目录。

七、攻击动机分析

•︎ 定价模型已经从“你停不起”转向“你不敢不公开”。 当日政府与公共管理4起、金融与保险5起，这两类主体的共同点不是赎金支付能力强，而是出事之后必须对外通报。市政、教区、警局受州级数据泄露通报法约束，持牌金融机构受监管报送义务约束——攻击者卖的不是数据本身，是“你必然会走的那道公开程序”。

•︎ 地方政府被选中不是因为有钱，是因为筹码自动生成。 美国多数州要求泄露涉及居民个人信息时必须通知本人并向监管机构报备，媒体会跟进，选举周期里还会被放大。攻击者的谈判成本接近于零：只要挂出来，压力就会自己长出来。这也是为什么 Booba Project 一天之内把7起里的6起压在这一个品类上。

•︎ 受监管身份本身就是杠杆。 印度 AU Small Finance Bank 与泰国 XSpring Capital 分别受本国中央银行与证券监管约束，数据外流会直接触发监管问询与投资者披露。规模越小，应对这类问询的能力越薄，也就越容易被当成软目标。

•︎ 新团伙的动机是曝光度，不是赎金。 Shiba 与 Everstake 首日共8起，零叙事、零赎金、零倒计时，连目标是谁都不说。它们的诉求是在泄露站上留下名字、让搜索引擎和威胁情报平台收录自己，赎金是之后的事，甚至可能根本不是主要收入来源。

•︎ 老团伙在系统性缩减叙事成本。 Qilin 4条全空、Lockbit5 沿用域名挂牌、Booba Project 只写“行业 + 数据量”。写描述是要花人工的，当攻击者判断“挂牌即施压”已经足够时，描述就成了可以砍掉的成本。这条曲线对防守方是坏消息：挂牌的门槛越低，被挂上的概率就越高。

八、攻击趋势分析

•︎ 新团伙的冷启动门槛还在下探。 从10月20日 Mimori 首日点名 OpenText 与 AVEVA 两家巨头，到10月29日 Shiba 与 Everstake 首日各4起零叙事挂牌，只隔了9天。“证明能力”这一步正在被跳过，泄露站从能力展示场退化成低成本广告位。预计后续会出现更多首日一次性挂5到10条、全部只有行业标签的新名字。

•︎ 美国地方政府与公共机构已经形成稳定的品类共识。 当日4起，分布在两家不同团伙，此前两周该品类每日通常0到1起。这个方向大概率会延续，原因是它的筹码结构太好用：必须通报、影响面直接覆盖居民、谈判压力自动生成。

•︎ 头部集中度连续多日维持在低位，生态进入无霸主状态。 当日第一名23.3%，前三合计50%，11个团伙分30起、4个只出1起。对照10月9日 Thegentlemen 43.9%、10月12日 N0n 50.7%、10月26日 Qilin 47.2%，“某一家独占当日半壁江山”的日子已经连续多日没有出现。对防守方意味着威胁来源更分散，但也意味着单一团伙的深度定向能力在下降。

•︎ 匿名化的主人换了。 此前匿名化主要来自 SilentRansomGroup 的打码与 N0n 的编号条目，动机是给谈判留余地（10月22日曾达30%）。当日匿名化4起全部来自一个全新团伙 Everstake，动机从“留谈判窗口”变成“隐藏能力边界”。同样是打码，含义完全不同，研判时不能混为一谈。

•︎ 公开情报继续稀释，自建能力的相对价值在上升。 连续多日无 CVE、无数据量、无赎金，当日30条只有一家团伙给了 GB 数。指望靠监控泄露站来做态势感知，这条路正在变窄——它能告诉你“有人挂了你”，但越来越难告诉你“你怎么被打进来的”。日志、暴露面收敛与主动威胁狩猎的权重必须往上提。

•︎ 再次强调数据口径。 10月29日的30起是 UTC 日终快照，历史上该站单日数字在24小时内会显著回填（10月27日从18起修正为43起）。做同比环比之前先等T+1，不要用快照数字下趋势结论。

九、防守方建议

•︎ 地方政府与公共机构：立刻做一次共享目录与文件服务器的敏感数据盘点。 Booba Project 自报的295 GB与105 GB说明主战场就是文件共享盘，不是数据库。按部门做最小权限切分，关闭全员可写的根目录；居民身份信息、税单、公用事业账单、执法记录单独存放并审计访问。同时提前准备好居民通知模板与监管机构报备流程——这类机构真正耗时的从来不是恢复系统，是48小时内必须发出的那批通知。

•︎ 医疗与养老机构：按临床、科研、教学、后勤四域做微分段。 Sunnybrook 这类教学与研究医院同时承载四套数据，边界最难切，也是当日分量最重的目标。老年护理社区与牙科诊所则普遍存在“一台服务器跑全部业务”的结构，优先把预约、病历、计费、影像分开，并给影像与归档存储单独设访问审计。

•︎ 中小持牌金融机构：把监管报送义务提前写进事件响应预案。 当日金融5起里没有一家大型商业银行，全是持牌但规模不大的机构。预案里要明确监管问询的对接人、投资者与客户的披露口径、以及外包服务商的连带通报责任。这类机构的短板通常不是技术，是从来没有演练过“被监管问询”这一环。

•︎ 新团伙的零叙事挂牌按“扫描命中”处置，不要按“已确认入侵”处置。 Shiba 与 Everstake 首日8条只有行业标签，很可能连自己打的是谁都没核实。收到这类挂牌时，先用暴露面扫描与日志自查验证，再决定响应级别，避免因恐慌启动不必要的全网应急响应、甚至做出错误的对外披露。

•︎ 凭据与边缘接入仍是最高性价比的防线。 当日虽无一条披露入侵路径，但头部团伙的历史画像高度一致地指向 VPN 与远程访问的旧凭据复用。把 CISA KEV 中标注被勒索软件实际利用的项（FortiOS、SonicWall、ScreenConnect、Check Point、Veeam、ESXi）列为7日必修，远程访问全面启用抗钓鱼 MFA 并绑定设备与会话。

•︎ 把“被挂的是哪个品类”当成预警信号用。 当日美国13起里9起来自两家团伙各自锁定的品类，说明目标选择已经出现可识别的模式。如果你的组织属于“美国地方政府”或“中小持牌金融机构”，现在就应该假设自己已经在扫描名单里，而不是等到挂牌之后再行动。

•︎ 公开挂牌当线索用，不要当证据用。 引用公开统计前先剔除测试占位条目、把国别旗标回原文校正（当日旗标口径会把北美低估13.4个百分点），用它的内容定位方向，用自己的日志验证事实。这个顺序不能倒。