警惕！日本制造业面临的勒索软件违纪与防御指南

一、事件概述：9 月发生了什么01

2026 年 9 月，日本制造业密集出现在各大勒索团伙的泄露站上。我们梳理了四起公开记录在案、且信息较完整的案例（按泄露站披露日期）：

• 9 月 15 日——新日铁（Nippon Steel）被 Metaencryptor 挂站；同一天，神户机器人工具快换制造商 TENTAC 被 Thegentlemen 挂站，桥本事机（Hashimoto Jimuki）被 Vexy 挂站。
• 9 月 28 日——日商电机制作所（Nissho Electric）被 Qilin 挂站。

这不是孤例，是一条正在发生的趋势线。多家威胁情报平台（CTIWatch、SOCRadar、ThreatCluster 等）都指出：Qilin 等团伙对日本工业企业有持续的、成体系的 targeting——SOCRadar 明确记录 Qilin「对日本实体有显著且持续的模式」，近期同批挂站的还有 IKEGAMI TSUSHINKI、Mitsuwa Trading、ASCII Group 等日本企业。

趋势背后没有玄学：制造业的生产停摆 = 直接的金钱损失，勒索团伙吃准了这点，专挑「停不起」的工厂下手，靠「加密 + 威胁公开窃取数据」的双重勒索（double extortion）两头施压。

二、受害企业一览02

三、攻击链路拆解：钱从哪进来的03

四起案例，行业不同、团伙不同，但入口高度雷同——可以归纳成一条标准链路：

1. 1凭据早已在暗网「货架」上。新日铁那条最直观：在被挂站之前，infostealer 已经偷走了 12 个员工账号、11 个第三方合作方员工凭据、750 组密码和 108 个会话 cookie。这些不是被「攻破」的，是员工（或第三方）的电脑早就被窃密木马感染、凭据被默默打包卖到了暗网。攻击者买来就能用，连钓鱼邮件都省了。
2. 2边界设备没打补丁，给了「第二把钥匙」。像 Qilin 这类活跃团伙，历史记录里反复用边界设备漏洞打头阵——CVE-2026-20079（Cisco 防火墙管理中心，CVSS 10.0，已列入 CISA KEV）、CVE-2026-0257（Palo Alto GlobalProtect 认证绕过，CVSS 9.1，KEV）。这些设备的漏洞一旦没及时修补，攻击者能从互联网直接摸进内网。
3. 3用偷来的凭据横向移动，把「能进」变成「全进」。拿到一组有效 VPN / M365 账号，攻击者就能以合法身份在内网游走。750 个密码 + 108 个 cookie 意味着大量可复用的会话，足够他们在网络里踩出一条路。
4. 4偷数据 + 加密，双重勒索。先把敏感数据拷走，再上加密程序。谈不拢，就把数据挂到泄露站施压——新日铁、日商电机都走到了这一步（被「列为受害者 / 数据公开」）。

四、为什么在华日企制造业最该紧张04

EZ-net 服务的主战场，就是在华日企制造业。上面这条链路，几乎是为这个群体量身定做的威胁画像：

换句话说：你的行业、你的协作模式、你的设备习惯，正好都踩在勒索团伙最爱的高危画像上。

五、给客户的四条安全基线05

基于上面这条链路，我们建议把以下四条作为对日企客户下阶段安全宣讲与落地检查的基准线——不是「等出了事再补救」，而是把入口先堵死：

1. 1强制 MFA，且要「抗钓鱼」的 MFA。普通短信 / 推送 MFA 仍可能被窃取的会话 cookie 绕过（新日铁那 108 个 cookie 就是干这个用的）。优先上 FIDO2 / 通行密钥（passkey）这类抗钓鱼 MFA，并对 VPN、M365、堡垒机全覆盖。
2. 2做一次「泄露凭据大排查」。infostealer 的凭据早就在暗网卖了，你家员工的账号可能已经在「货架」上。用暗网 / 泄露库监测服务（如 HudsonRock、Cyberknow 类情报）拉一遍企业域名和第三方域名的受陷记录，凡是中招的，强制改密 + 注销所有会话。别只查自家域名，第三方合作方的凭据同样能打进来。
3. 3备份必须「离线 + 可恢复」，而且真的演练过。勒索软件会顺手把在线备份一起加密或删掉。备份要满足：离线 / 不可变（immutable）、与生产网络隔离、且定期做过恢复演练。没演练过的备份 = 没备份。
4. 4边界设备补丁要有「固定时效」，不能等月度周期。对 FortiGate、Palo Alto、Cisco 等边界 / 防火墙设备，建立 KEV 漏洞的紧急补丁窗口（通常 CISA 给的期限是 2 周内，高危 KEV 更短）。凡是列入 CISA KEV 的漏洞，不等月度维护，单独走应急流程。

六、常见问题 FAQ06