勒索事件日报：2026年-11月-06日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月7日 10:42
福建

去阅读

导读

11月6日新增勒索受害者27起、12个团伙，环比腰斩；Silentransomgroup一日点名三家律所含Wachtell，N0n八条实名客户数据上架，Settra拿税务催缴单当筹码。

一、勒索数据概述

2026年11月6日（周五，UTC自然日），全球勒索软件泄露站新增受害者条目27起，涉及12个攻击团伙，较前一日的51起回落约47%，是11月2日以来的最低值。

统计口径为11月6日（UTC自然日）新发现条目，两次独立抓取（不同query参数）交叉验证，面板计数与逐条枚举均为27起，完全吻合。当日名称打码或属地缺失的3条已逐条回查原文描述；当日无中国内地及港澳台主体。

放回近一周序列：10月31日84、11月1日16、11月2日23、11月3日46、11月4日69、11月5日51、11月6日27。这条曲线过去一周的振幅接近五倍，但驱动它的是两三家批量团伙的出货节奏，不是全球攻击强度。今天这批批量玩家集体缺席——Thegentlemen零起、Medusalocker零起、Safepay零起——27起里没有任何一家团伙的“清仓式”上架，这是本周第一次总量接近真实零散攻击密度。

当日有三条结构性信号。其一，Silentransomgroup一天点名三家律所，其中Wachtell, Lipton, Rosen & Katz是全球并购法律服务的定价标杆——目标层级从“头部律所”抬到了“顶端律所”，这不是数量问题，是选靶上限问题。其二，N0n的匿名编号体系首次中断：#113到#137三周不断号之后，今天8条全部实名具名，商品形态从倒计时“预售”直接切成客户数据“现货”。其三，Settra的三条全部带攻击日、潜伏21到38天，用的筹码是IRS催缴单和负净资产——它读的是财务系统，不是文件服务器。

二、被攻击单位分析（受害者清单）

当日27条被公开点名的条目如下，国别已按条目原文、官网域名与描述自述逐条校正。

四条分量最重的条目，代表四种完全不同的信号。

Wachtell, Lipton, Rosen & Katz（Silentransomgroup，美国）是当日乃至本月最重的一条。这家纽约律所常年位居美国律所人均利润榜首，做的是董事会层级的并购、代理权争夺与反收购防御，它的核心资产不是服务器上的合同，而是未公开交易的内幕信息与谈判策略。条目显示发现时间11月6日18:57 UTC、攻击日同为11月6日——零缓冲，当日攻破当日挂牌。对一家以保密为唯一卖点的机构，被挂牌这件事本身的杀伤力就已经超过数据泄露。

N0n的8条（美国6、意大利1、沙特1、阿联酋1）构成当日最大的单一商品组，全部是“客户级数据”：Hallmark的AI购物助手全量对话语料、Scry Analytics掌握的某美国核心银行客户与签约人记录、Chartboost的移动广告内部业务记录、Dompé在美的完整理赔数据仓、Cogent的开放与闭合理赔分析、Resource Consultants的贵金属买家名册、Centrepoint与Max Fashion的中东会员库。这些不是“我们加密了你的文件”，而是“我们能给每一个客户打电话、发钓鱼邮件、办一笔假贷款”。买家视角下，这是成品弹药，谈判对象甚至可以不包含受害者本人。

Mutares（BrainCipher，德国）是当日实体体量最大的一家：慕尼黑私募股权控股集团，专做汽车、工程、商品服务与零售的被剥离业务重整，在欧洲与北美持有数十家被投企业。站点把它归进“制造业”属分类误标，但误标背后是个真问题：打一家控股平台等于同时拿到整个被投组合的投后管理系统入口。条目显示1个第三方员工凭据与4个口令暴露——这类集团的风险从来不在总部防火墙，在投后财务与人事的共享通道。

Settra的三条是当日唯一带攻击日的条目，也是手法最“非常规”的一组。ar500armor.com是凤凰城向警察、消防与军方供货的防弹衣厂商（攻击日9月29日，潜伏38天）；lakelawnresort.com条目直接贴出集团合并报表净资产−6,146,251.02美元（攻击日10月6日，潜伏31天）；metalloidcorp.com条目附上2025年4月7日IRS最终催缴通知LT11、2022年民事罚款3,567.31美元（攻击日10月16日，潜伏21天）。三家分属国防供应链、酒店与工业制造，共同点是都被翻出了账本——勒索筹码已经从“我有什么数据”变成“你欠谁的钱、你账上还剩多少”。

三、行业维度分析

按逐条核实口径：制造与工业5起（18.5%）居首——防弹衣、辐射屏蔽材料、法国家具、精密机加工、商业标识；法律服务4起（14.8%）——Tucker Ellis、Wachtell、亚利桑那Boyle Pecharich、外加一家打码所；科技与广告4起（14.8%）——IT托管、零售分析软件、移动广告、数据AI；零售与消费分销4起（14.8%）——沙特Centrepoint、阿联酋Max Fashion、Hallmark、贵金属经销；医疗与生物制药3起（11.1%）——加拿大睡眠诊所、Dompé、Cogent；金融投资（Mutares）、建筑管理、跨境物流、酒店度假、教育各1起；未披露2起。

制造5起居首是统计表象，真正的结构变化在“数据品类”这一层。N0n的8条覆盖生物制药、移动广告、零售、贵金属、数据分析五个行业，但商品是同一种东西——客户名单与客户对话。行业标签只是货架分类，买家要的是能直接触达的人。这解释了一个反常现象：为什么当日行业分布如此分散，却仍然像一次统一的投放——因为攻击者在按“数据的下游用途”而非“企业的行业属性”选靶。

法律服务4起、占14.8%，且首次出现全球顶端律所。10月19日到10月30日，Silentransomgroup连打五家头部律所（Latham & Watkins、Kirkland & Ellis、Morrison Foerster、ArentFox Schiff、Susman Godfrey），那还是“数量围猎”；11月6日直接点名Wachtell，是把靶心挪到了并购顾问金字塔的塔尖。同一赛道两周内完成从“多打几家”到“打最贵那家”的升级，说明前一轮围猎已经完成了情报积累与话术验证。

医疗3起全部不在医院层：一家睡眠诊所、两家制药与生物科技。与11月5日8起诊所层批量不同，今天这3起是零散命中——诊所层被纳入批量货架的趋势没有消失，只是今天批量团伙没出货。教育1起（意大利国立综合学校）是Shiba首次进入教育品类，公立学校的数据密度低但预算更薄，属于典型的低成本试靶。

四、区域维度分析

校正后的区域分布：北美17起（63.0%，美国16、加拿大1）；欧洲4起（14.8%，意大利2、德国1、法国1）；中东3起（11.1%，沙特1、阿联酋1、以色列1）；拉美1起（墨西哥）；属地未标注2起（7.4%）。

美国16条占近六成，但来源高度集中在两家：N0n 6条、Akira 3条、Silentransomgroup 3条，三家合计12条。真实零散命中只有Settra 3条与Direwolf 1条。“美国份额高”在这个站点上从来不是攻击密度的证据，而是货架进货偏好的结果——这一点在低总量日尤其明显：总量跌到27起，美国占比反而升到63%，因为剩下的都是批量团伙的常规补货。

中东3起是本日最有价值的结构信号。N0n两条会员库（沙特Centrepoint、阿联酋Max Fashion）分属两个海湾市场，商品描述几乎同构——“忠诚度计划客户记录，含全名、邮箱、消费行为”；加上Qilin在以色列的一条。此前中东在本系列里是零散个例（土耳其居多），今天第一次成组出现，而且是同一团伙在同一品类上做区域复制——海湾零售集团的会员体系正在被当作一个可批量开发的SKU。

旗标与分类校正三处：Boyle, Pecharich, Cline, Whittington & Stallings 无国旗，描述自述“自1950年起服务亚利桑那州客户”，按美国计；B... law 与 Company #6 名称打码、无属地，保留“未标注”；站点把Mutares归入制造业，实为私募股权控股集团，行业口径按实际业务修正。欧洲4条里意大利2条值得留意——一家药企的在美理赔数据与一所国立学校，属地是意大利，数据主权却在美国，这类跨境条目会持续给监管归属带来麻烦。

五、攻击团伙分析（团伙分布）

12家团伙分27起，前三家合计15条（55.6%），集中度看似不低，但性质与前几天完全不同——今天没有“清仓”，三家都是常规节奏。判断团伙真实产能，仍要看攻击日跨度、编号连续性与条目形态。

N0n完成了从“预售”到“现货”的切换，这是本周最重要的供给侧变化。三周来它的匿名编号（#113至#137）是最可靠的产能指标：编号条目给行业标签、给PENDING EXPOSURE倒计时、不给名字，本质是卖预期；今天8条全部实名、全部带具体数据品类描述（“完整理赔数据仓”“核心银行客户与签约人记录”“AI购物助手全量对话语料”）。当一个数据经纪商开始用实名具名替代倒计时，通常意味着两件事：手上的货已经确认可以交付，或者匿名预售的转化率不如预期。两种解释都指向同一个结论——它的库存已经实体化。

Silentransomgroup的三连发是“定价实验”而不是“走量”。Tucker Ellis（全美诉讼与产品责任）、Wachtell（并购塔尖）、外加一家打码所（FULL DATA TIMER进行中）。它在同一天把三个不同层级的律所摆上同一货架，等于在给整个赛道标价格梯度。参照11月5日它给Smith Gambrell公开标价27.25万美元的手法，这家团伙在做的是价格发现：先让市场看到最贵的那家也被挂牌，后面所有律所的价格锚点自然上移。

Settra是当日唯一保持“慢节奏”的老团伙：3条潜伏21到38天，全部带攻击日与财务细节。它与其他团伙的差异不在目标大小，在停留时间——38天足够读完账本、拉出合并报表、找到税务催缴记录。当多数团伙把潜伏压到2到3天，Settra用一个月做尽调，说明它卖的不是“泄露数据”，是“你的财务漏洞清单”。

批量清仓团伙集体静默，这个缺席本身是数据。Thegentlemen在10月31日一天放出50起、11月5日又放出25起，今天零起；Medusalocker 11月4日18起，今天零起；Safepay同样归零。这三家的共同点是“攒批—释放”的脉冲式投放，静默期通常3到5天。这意味着未来两三天内出现新的20起以上尖峰是大概率事件，27起的低位不可当作趋势拐点。

Obsoft的Company #6标注“已解决，数据已销毁”，是结案公示第二次出现（11月3日它一日挂牌6家韩国企业，其中5条标Resolved）。挂牌站开始出现“结案状态”，等于把赎金支付做成了可查的公开凭证——这对谈判博弈的影响远大于单条数据泄露，因为它给了攻击者一个“守约”的信誉背书。

六、攻击手法分析

当日最硬的手法信号不是新载荷，是时间维度的集体消失：27条里只有4条给出攻击时间——Settra 3条（9月29日、10月6日、10月16日）与Wachtell（攻击日与挂牌日同为11月6日），其余23条全部空白。对照11月5日57%的标注率，一天之内从57%跌到15%，这不是巧合，是投放侧在主动剥离时间信息。

攻击时间消失的后果被低估了。防守方过去常用的反推逻辑是“按挂牌日减潜伏期中位数，估出可能的入侵窗口，再回查日志”。当88.9%的条目不给攻击日，这条推理链直接断掉——你不知道该回查上周还是上个月。这意味着外部情报的预警价值在下降，检测能力必须自建，“被挂牌了才知道”的响应模型彻底失效。

Settra的“财务底稿式”手法本期进一步坐实。三条描述分别对应：合并报表的净资产数值（精确到分）、IRS最终催缴通知的编号与金额、以及母公司层级关系。这些字段不会出现在文件服务器里，它们在ERP、财务共享中心、税务申报系统与审计底稿中。手法含义很直接：先拿域控或财务账号，再按“钱在哪”定向翻找，最后用监管与税务风险替代数据泄露作为主要威胁。对董事会而言，一张IRS催缴单被公开的杀伤力，可能超过客户名单泄露。

N0n的商品化程度在深化：8条按下游用途切成了四类SKU。会员库（Centrepoint、Max Fashion）对应钓鱼与身份盗用；理赔仓（Dompé、Cogent）对应保险欺诈与医疗身份盗用；银行签约人记录（Scry）对应骗贷与账户接管；AI对话语料（Hallmark）对应社工话术训练与BEC。同一家团伙在同一天把四种下游用途的商品同时上架，说明它的分拣能力已经工业化——进货时不分类，上架前按买家需求分。

Wachtell的零缓冲挂牌值得单独记一笔。攻击日与挂牌日同为11月6日，意味着从入侵到公开施压不超过24小时。对顶级律所这种文档密集型目标，一天之内完成“进入—定位—取样—上架”，只可能是凭据直接可用、目标结构清楚、且有预设的挂牌模板。这类“闪电挂牌”过去多见于扫描流水线团伙，如今出现在定向打顶端的团伙身上，说明高端目标的防御假设（“我们太重要所以会被长期潜伏”）已经不成立。

当日无新CVE、无初始访问向量可归因，连续多日如此。唯一的凭据侧信号来自Mutares：1个第三方员工凭据、4个口令暴露。样本太少，但方向与近期一致——入口在身份，不在漏洞。

七、攻击动机分析

•︎ Silentransomgroup 打Wachtell，动机是价格发现，不是勒索这一家。顶端律所被挂牌的消息会传遍整个专业服务圈——它要的是让后面每一家律所在谈判前就接受“连Wachtell都被挂了”的心理锚点；单笔赎金是次要收益，赛道定价权才是主收益。

•︎ N0n 从匿名预售切到实名现货，动机是库存变现与买家信任。倒计时卖的是预期，实名卖的是可验证的交付；当它开始写“完整理赔数据仓”“核心银行签约人记录”，买方看到的是可直接投产的诈骗素材，成交周期比预售短得多。

•︎ Settra 翻账本，动机是把监管与税务风险变现。负净资产、IRS催缴单、合并报表——这些材料威胁的不是客户，是董事会、贷款方与审计机构；勒索对象从IT部门转到了财务与法务，付款决策链被缩短。

•︎ BrainCipher 打Mutares，动机是杠杆放大。一家控股集团背后是数十家被投企业，攻破投后管理的共享通道，等于一次投入换几十个潜在标的；这是“批发式”勒索，单点收益不重要，组合覆盖率才重要。

•︎ Akira 四条中小企业，动机是最古典的现金流。法国家具品牌、两家休斯顿小厂、亚利桑那律所——无数据量、无倒计时、无话术，付钱了事是它默认的商业模型，也是最难被执法打断的一种。

•︎ Shiba 打意大利公立学校，动机是低成本试靶。教育品类数据密度低但预算更薄，用一所学校验证“教育+南欧”这条线索的转化率，成本几乎为零。

•︎ Obsoft 公示“已解决、数据已销毁”，动机是建立可信度。结案状态是给未来受害者看的：付钱，我们就真的删——这比任何威胁都更能提高付款率。

八、攻击趋势分析

•︎ 总量跌到27起，是批量团伙静默的结果，不是攻击降温。Thegentlemen、Medusalocker、Safepay三家同时归零，而它们的脉冲周期通常3到5天——未来两三天出现新的20起以上尖峰是大概率；用单日总量判断趋势的做法，在本系列已经连续失效三周。

•︎ 律所赛道进入第二阶段：从“围猎头部”到“点名塔尖”。两周内从五家头部所（Latham、Kirkland、MoFo、ArentFox、Susman）推进到Wachtell，目标层级上移的速度快于防守侧的整改速度；专业服务业的被挂牌概率正在从“偶发风险”变成“行业常态”。

•︎ N0n匿名编号体系首次中断，供给侧最重要的产能指标失效。#113到#137的三周连续编号是过去最可靠的观察锚，今天8条全实名意味着它切换了销售模式；后续需要改用“数据品类+买家用途”来跟踪它的库存结构。

•︎ 攻击时间标注率从57%跌到15%，情报产品在退化。88.9%的条目不给时间维度，防守方无法再用挂牌信息反推入侵窗口；这意味着“外部情报驱动响应”的路径正在关闭，检测与日志留存的自建能力成为唯一选择。

•︎ 中东第一次成组出现，且集中在会员体系。沙特与阿联酋两家零售商的会员库同日上架，海湾市场的零售集团会员数据可能成为下一个被批量开发的品类；区域性的“忠诚度计划”是共同弱点——客户量大、字段全、留存久、加密弱。

•︎ “结案公示”第二次出现，赎金支付正在被公开凭证化。Obsoft的Resolved标记意味着挂牌站开始提供履约记录，这会系统性提高付款率，也让“不付赎金”的行业共识更难维持。

•︎ 制造与专业服务仍是两大常驻品类，但选靶逻辑已经分层。制造5起靠数量，法律4起靠单个目标的分量——同一天里既有“铺量”也有“点名”，说明生态内部的分工已经稳定：小团伙走量，老团伙定价。

九、防守方建议

结合当日27起的结构特征，给出六条可立即落地的动作。前两条针对今天最实锤的两个缺口。

•︎ 顶级专业服务机构把“客户机密”当第一资产，而不是把系统当边界。Wachtell的教训是零缓冲挂牌——并购与诉讼文件按项目分区授权、外发加水印与下载审计、离职人员与外部顾问的访问权限当日回收、文档平台开启异常批量下载告警；律所的核心资产在文档里，不在防火墙后。

•︎ 放弃“等挂牌再响应”的模型，把日志留存拉长到90天以上。当日88.9%的条目不标攻击时间，事后反推入侵窗口已不可行；EDR全量日志、身份认证日志、财务系统导出日志的留存周期，直接决定你还查不查得动。

•︎ 财务系统做独立的出口审计，专治Settra这类对手。ERP、财务共享中心、税务申报接口的批量导出、报表订阅、外部会计师与审计师的临时权限——逐项列清单、逐项开告警；同时把“税务与监管文件外泄”纳入危机沟通预案，别让法务在攻击者设定的框架里谈判。

•︎ 控股集团与PE做投后安全基线，别让一家出事拖垮组合。Mutares案例说明投后管理的共享通道是单点放大器；把安全尽调纳入投后100天计划，集团与标的之间做身份与网络隔离，第三方员工凭据纳入泄露库监控。

•︎ 对客户数据做“可定价性”评估，按下游用途算损失。会员库、理赔仓、客服与AI对话语料、银行签约人记录——按钓鱼、BEC、骗贷、身份盗用四种用途分别估算泄露后的直接损失，再决定加密与令牌化的投入优先级；Hallmark的AI助手对话是新增品类，很多企业还没把它算进数据资产清单。

•︎ 中东海湾运营主体专项核查会员体系。Centrepoint与Max Fashion两条均为“全名+邮箱+消费行为”的会员记录，忠诚度计划通常由第三方营销平台托管、字段最全、权限最松；核查该平台的访问账号、导出接口与历史泄露记录，是本周就能做完的事。