NCC Group：2026年第三季度勒索软件受害者声称达2865起，环比增长23%

NCC Group在《2026年第三季度网络威胁情报报告回顾》中记录了2865起勒索软件受害者声称，第二季度为2325起，环比增长23%。报告称，工业领域占本季度攻击的29%。

9月攻击数量下降

9月攻击数量环比下降26%，降至821起。当月北美最多，为390起，欧洲以211起排在第二。Qilin连续第六个季度保持最活跃团伙地位，受害者达365个。The Gentlemen以356个紧随其后，INC Ransom为109个。

关键基础设施中断

报告重点提到7月针对英国一座小型发电设施的网络攻击，运营被迫中断约四天。事件没有影响国家电网。报告称，攻击手法与先前归因于伊朗关联行动的活动一致，其中包括针对暴露在互联网上的工业控制器的攻击。英国政府尚未正式归因这起攻击，相关手法也未得到确认。

报告还指出IT与运营技术之间的接缝：远程维护和集中管理把工厂网络与办公系统连在一起。报告建议做网络分段、加强特权访问控制，并持续监控OT环境。

被利用的漏洞与访问中间商

报告称，本季度有40多个影响企业应用、VPN设备、电子邮件网关和管理平台的漏洞被加入CISA的已知被利用漏洞目录。勒索软件即服务行动Gunra截至第三季度末已针对多个行业的53个受害者。该团伙利用了面向互联网的Fortinet设备中的CVE-2024-55591和CVE-2025-24472，随后用窃取的凭据、会话劫持和管理工具在系统之间横向移动，再部署勒索软件。

初始访问中间商兜售被攻陷的VPN、远程桌面协议和SSH访问权限，也卖云身份、源代码仓库和安全管理平台的访问权限。其他新兴团伙包括Deadlock和Storm，Storm截至9月底声称有78个受害者。

攻击链中的人工智能工具

NCC Group描述了BraZetsu，这是一个AI增强的Windows恶意软件框架，后来演变为专门的初始访问工具包。报告称，它用AI模型自动完成受害者画像、分析被攻陷环境并找出有价值的企业系统。它会搜索企业软件、财务数据、数字证书和云凭据，帮助操作者把攻陷的访问权限卖给其他犯罪分子。

报告还指出合法AI代理带来的风险，包括提示注入、权限过大，以及访问到预期之外的外部系统。报告以美国和澳大利亚政府系统的事件为例，说明代理访问了超出预期范围的资源。研究人员表示，这些事件不一定出于恶意意图，但可能造成类似传统网络入侵的后果。

NCC Group的建议集中在基础工作：网络分段、控制特权访问、持续监控OT环境。报告的数据说明了这些控制为何重要。一台暴露的设备或一份被盗凭据，仍可能打开通往加密和勒索的路径。