研报速递
11 月 12 日（UTC）全球新增勒索软件受害者记录 99 条，涉及 15 个活跃团伙、37 个国家与地区、13 个行业类别，较前一日（11-11，36 条）上涨 63 条（+175%）。但 99 条里攻击日等于当日的只有 13 条——INC Ransom 十三分钟清仓 50 条一个月的库存、The Gentlemen 九分钟公示 22 条前一日打完的仗。本期无一条编号预告或公告帖，99 条全部为具名或可识别主体。中国相关条目 1 条：申万宏源(香港)（中央汇金背景券商的香港上市子公司，公司 10-23 已发公告并报警，团伙 11-12 公开挂出、宣称 9.97 TB）。
当日挂出量前三为 INC Ransom（50 起，占 51%）、The Gentlemen（22 起）、Settra（5 起），前三合计占 78%。同团伙同小时连发的共 8 组、覆盖 91 条（占 92%），为近期最高。攻击日等于当日的仅 13 条（13%），最大滞后 30 天。
近七日日度受害者数（UTC）
11-06 → 27 ｜ 11-07 → 45 ｜ 11-08 → 19 ｜ 11-09 → 100 ｜ 11-10 → 66 ｜ 11-11 → 36 ｜ 11-12 → 99
⚠ 中国受害者关注：1 条——申万宏源(香港)
① 该条为香港上市券商（HKEX 218.HK），母公司申万宏源集团（深交所 000166／港交所 6806）由中央汇金控股。公司 10-23 已按上市规则刊发「潜在网络安全事件」公告并通报香港警务处，称核心业务正常、未涉客户资产损失；团伙 11-12 挂出、宣称两个 AD 域全失陷、9.97 TB、含 FICC 自营头寸与 896 名员工信息——双方口径不可同时成立，规模细节属单方声明。
1INC Ransom 十三分钟清仓 50 条，25 条是「并购尽调式」档案帖
50 条在 UTC 10:06–10:18 内连发，攻击日却散在 10-13 至 11-10（中位滞后 14 天）、仅 1 条当日新案——这是一个月库存的集中公开，不是 50 次新入侵。其中的 25 条档案式长帖不再是「偷了多少文件」的叙事，而是把牌照与监管记录、银行关系、国防合同资质、环保违规、保险缺口组织成一份针对每家受害者的尽调报告：给申万宏源(香港)列出全部六类牌照与「未发现网络安全保险」、给 PANAX 列出 SCADA/PCS7 与核基础设施供应、给东伍住宅贴出环保处罚记录、给国防承包商 Bristol 写「系统性违反网络安全要求六年」。
2申万宏源(香港)：公司公告在先、团伙挂出在后，双口径同日摊开
时间线完整可核：10-23 公司按上市规则刊发「内幕消息：潜在网络安全事件」公告（确认收到疑似勒索讯息、已通报香港警务处、交易与结算等核心系统正常、未涉客户资产损失）→ 团伙标注的攻击日为 10-29 → 11-12 公开挂出。团伙版本则是「两个 AD 域全失陷、三司法辖区、21,002,068 文件（9.97 TB）、FICC 自营头寸、ISDA 主协议、896 名员工 PII」，还点名「未发现网络安全保险、成本全部自担」。「核心业务正常」与「全域失陷」可以并存（业务可用性不等于保密性），但两者对监管与客户的通知义务含义完全不同——帖内连保险与赔付能力都纳入定价考量，说明牌照类金融机构的暴露面早已不只是 IT 资产清单。
3The Gentlemen 九分钟 22 条，全是前一天打的仗
09:49–09:57 九分钟连发，22 条的攻击日全部为 11-11——一次战役的次日集中公示。目标横跨 16 国：南非的 ArcGIS 独家分销商、沙特第三大连锁药房（234 个用户凭据）、阿根廷危险品物流、科威特上市投资公司、加拿大萨斯喀彻温市政、秘鲁区镇政府等。该团伙的完整手法链本期首次被结构化披露（见团伙动态表），其中「Veeam 备份作业停止与磁带媒体长擦除」专门针对离线备份的最后一道防线。
4N0n 回归「数据资产清单」：LEO Pharma 一条宣称 3.15 亿行患者记录
四条全部是清点式的：LEO Pharma 一条自述 315,150,416 行患者记录（一行一患者，含年龄、性别、三位数 ZIP、处方与 100+ 诊断字段）；Texas Truck Center 一条为 34,863 条具名客户记录（含社会安全号）；Native Touch 一条为加拿大受众的数十亿条设备移动记录（广告标识符＋坐标＋IP）；Female Daily 一条为 65 万论坛账户与 487 万条帖子（含密码哈希）。攻击日全部为 11-05、滞后 7 天——先把受害方的数据资产清点成「货」，再谈价或直接出售。
5Barracuda 把数据当商品标价：1.23 TB、五万美元、Status: selling
ProLiant 一条正文直白写明「窃取 1.23 TB、含合同财务与员工信息、挂牌出售、$50,000」——不再是倒计时施压，而是直接变现。同日 PayoutsKing 的 Y****s 脱敏条目（1.2 TB、无任何描述）与之呼应：本期数据量最大的两条都走「出售」而非「谈判」叙事。PayoutsKing 被安全厂商高置信归因为 BlackBasta 解散后的原附属重组，惯用垃圾邮件轰炸＋假冒 IT 支持的电话钓鱼，引诱员工开 Teams 会议并启用 Quick Assist 远控。
6大学、卫生部与核供应链：当日 13 条新案里的重点
当日新案（攻击日=11-12）仅 13 条，其中：Qilin 零叙事挂出得克萨斯大学阿灵顿分校与加拿大约克大学，约克一条附 196 名员工／2,431 个用户凭据的失陷指标；Panzer 挂出马来西亚卫生部本体（16 GB）；INC Ransom 的当日新案为印度上市的工程研发外包商 AxisCADES；Aoqin 挂出巴基斯坦私营航司 Airblue（710 GB）。另值得单独留意 PANAX 集团（韩国釜山，涉核基础设施供应与 SCADA/PCS7 工业自动化、AD 域 679 人）——攻击日 11-02，挂在 INC Ransom 的清仓批次里。
两家大户的共同入口都是边界设备与凭据：SSL-VPN 是本日最该自查的一件事
贡献当日 72 条的两家团伙，公开画像都指向同一条路径：INC Ransom 的首要入口是有效账户与 Citrix 公网应用利用（CVE-2023-3519），The Gentlemen 的链以 FortiGate SSL VPN 有效凭据接入开头、再以 PetitPotam 强制认证与 NTLM 中继横向提权。这不是巧合——现成可用的 SSL-VPN 凭据是暗网上最便宜的「初始访问」商品。可执行的优先项只有三件：边界设备版本核查、全部 SSL-VPN 凭据轮换、MFA 覆盖到每一个远程入口。
「档案化勒索」值得防御方照抄一遍：假设对手已完成对你的尽调
INC Ransom 的档案帖全部由公开信息开头——牌照、监管处罚、诉讼记录、国防资质、保险缺口，再拼上内部数据。这意味着两件事：其一，团伙的定价模型里包含「你值多少钱」的公开面分析，受害方的公开披露越充分、档案越厚；其二，机构自查暴露面时应当假设对手已完成同款尽调，把「关于我们的公开信息＋内部什么数据放在哪」两张图叠起来看，缺口比任何扫描器都直观。帖内专门点名「未发现网络安全保险」，说明保险与赔付能力同样在尽调范围内。
数据被标价出售，泄露的终点从「是否公开」变成「是否成交」
Barracuda 的明码标价（1.23 TB、$50,000）、PayoutsKing 的 1.2 TB 脱敏条目、N0n 对 LEO Pharma 3.15 亿行患者记录与受众数据的清点式挂出，走的是同一逻辑：谈判窗口之外，变现渠道正在成型。医疗（一行一患者的处方与诊断字段）与广告科技（设备标识符＋坐标＋IP）是清单里标的最清晰的两类——对个人是持久的撞库与诈骗原料，对机构则意味着数据一旦在暗网挂牌，「等它公开」这个观察口径就失效了，成交不会敲锣。
管道型目标第一次被写进条目标题：你连着谁，就是要价的筹码
本期集中出现五条「服务他人」的实体：瑞典 IT 托管商 ELITDATA 的条目名里直接点名两家客户律所；律所 IT 托管商 Gator Works 连带三家客户；ArcGIS 南非独家分销商服务 2,000+ 政企客户的空间数据；牙买加 MultiLink/ACH 支付交换网承载全岛商户结算；PANAX 涉核基础设施供应与工业自动化。团伙把「下游名单」当作抬高要价的筹码直接写进标题，反过来，下游方也应把「上游托管了谁」纳入自己的风险清单——一个失陷点对应多个下游，逐家看供应商自身资产会系统性低估影响面。
手法链覆盖 10/15：最该对照自查的是「磁带也被擦了」
十五家中有十家给出了可复核的 ATT&CK 手法链（六家来自结构化档案、四家来自厂商分析），五家无公开记录照实标注、不作推断。其中最值得单独一提的是 The Gentlemen 链尾的两步：停止 Veeam 备份作业、对磁带媒体执行长擦除（Erase-VBRTapeMedium -Long），再以 BYOVD 驱动击杀 EDR。备份体系若只验证「作业成功」而不验证「介质完整性」，这条链正是盲区——离线磁带本来是勒索场景的最后一道恢复防线，被专门擦除意味着 3-2-1 备份原则里那个「1」也不再想当然安全。
数据来源与免责声明：本文受害者信息全部来自公开渠道（勒索团伙公开泄露站点、上市公司公告与交易所披露、公开媒体报道），仅作网络安全监测与研究之用。文中涉及的窃取数据规模、内容与影响均为团伙单方声明、未经独立证实，与当事方公告口径不一致之处已如实并列、不作裁断；本文不构成对任何机构安全状况或经营状况的评价，亦不构成任何投资建议。
