一起新的勒索指控指向一家日本工业企业。威胁行为者 exitium 声称从 KOIKE Sanso Kogoyo Co. Ltd. 窃取了 5.8 TB 数据，如果该公司不在 2026 年 10 月 13 日（星期二）之前联系，就将出售这些数据。此案是 exitium 勒索软件数据勒索的一个明显案例，对任何与该公司有业务往来的人来说都有借鉴意义。
在我们掌握的信息中，该声称尚未得到独立核实。以下内容基于该组织的指控，以及关于此类勒索如何运作的一般背景。
exitium 声称从 KOIKE Sanso Kogoyo 拿走了什么
根据该报告，exitium 声称从总部位于日本的 KOIKE Sanso Kogoyo Co. Ltd. 窃取了 5.8 TB 数据。该组织表示，被盗文件包括协议和机密信息。来源摘要被截断，因此我们无法列出该组织声称持有的所有类别。
有两点很重要。首先，这是攻击者的声称，而非该公司的确认。威胁行为者有时会夸大数量或其所持数据的敏感性。其次，所提及的数据类型——协议和机密信息——正是涉及第三方的类型：客户、供应商和承包商的名称、条款和联系方式都会出现在合同中。
数据窃取勒索和截止日期压力如何运作
在数据窃取勒索攻击中，犯罪分子从网络中复制文件，然后威胁要发布或出售它们。加密系统是可选项。杠杆来自被盗数据本身。我们在对 Silent Ransom Group 聊天记录声称从 27 家公司获取 2.0695 亿美元 的分析中讨论过这种模式，其中犯罪分子据称在没有加密任何受害者文件的情况下收取了付款。
截止日期是该套路的一部分。在本案中，exitium 表示如果在 10 月 13 日之前没有联系，就会出售数据。固定日期有几个作用：
- 它制造紧迫感，推动受害者在完成调查之前进行谈判。
- 它向潜在买家发出信号，表明数据可能很快就会可用。
- 它让该组织可以在截止日期过后公开升级事态。
威胁出售而非仅仅泄露，增加了另一个角度。被出售的数据可能落入用于定向诈骗的欺诈者手中，这就是为什么合作伙伴面临的风险不会随着头条新闻的消退而结束。
泄露后合作伙伴和客户应警惕什么
如果合同数据被曝光，外部各方最大的近期风险不是泄露本身，而是随之而来的事情。协议揭示了谁与谁合作、正在购买什么、哪些人签署付款，以及如何编写一条看起来合法的消息。
预计会出现以下模式：
- 发票和付款变更诈骗。 一条看似来自已知联系人的消息要求你更新银行信息或支付逾期发票。
- 冒充受影响公司。 攻击者可能冒充 KOIKE Sanso Kogoyo 的员工，或冒充就该事件联系合作伙伴的律师、审计师或安全响应人员。
- 基于真实细节构建的鱼叉式网络钓鱼。 引用实际合同条款或项目名称会让虚假电子邮件更具说服力。
- 对第三方直接施压。 一些勒索团伙会联系受害者的客户或合作伙伴以增加压力。
社会工程往往首先就是入口。我们关于 Levi Strauss 泄露事件，社会工程攻击了三台工作电脑 的报告显示，几次有说服力的接触如何能够打开企业数据的大门。
这对你意味着什么
如果你不是 KOIKE Sanso Kogoyo 的客户或合作伙伴，则无需采取直接行动。如果你是，或者你与任何出现在勒索泄露网站上的公司有合作，请假设你的姓名和合同细节可能被用来对付你。勒索组织也曾向公众施压，正如 ASOS 应用用户收到勒索推送警报 时所见，因此与泄露相关的意外消息无论通过电子邮件、电话还是应用到达，都值得警惕。
如果你的数据出现在声称的泄露中，可采取的实际步骤
- 通过已知渠道核实。 如果自称代表受影响公司的人联系你，请挂断或忽略该消息，并使用你已存档的电话号码或地址主动联系。
- 冻结付款细节变更。 在更改任何银行账户或付款指令之前，要求通过已知号码进行电话二次确认。
- 提醒你的财务和采购团队。 他们最有可能成为发票欺诈的目标。
- 审查你分享了什么。 考虑你向该公司提供了哪些协议、文件或凭证，并轮换任何已共享的密码或访问令牌。
- 开启多因素认证。 在电子邮件和任何共享门户上使用它，这样仅凭被盗密码还不够。
- 不要与勒索者接触。 如果你被直接联系，请向你的安全团队或相关当局报告，而不是回复。
- 留意后续声称。 泄露网站上的声称往往会随着组织添加文件样本或修改数量而变化。
要点
exitium 对 KOIKE Sanso Kogoyo 的勒索软件数据勒索声称尚未得到证实，但其机制并不陌生：窃取大量数据，设定截止日期，并威胁出售。合作伙伴和客户面临的实际风险是一波有说服力的网络钓鱼和冒充，而不仅仅是泄露。将意外联系视为可疑，并通过你已经信任的渠道进行核实。要了解更多关于无需加密的勒索如何运作，请阅读我们对 Silent Ransom Group 及其泄露聊天记录 的报道，以及我们关于 Levi Strauss 社会工程泄露事件 的文章。
