2026年3月25日 勒索软件组织活动日报

报告摘要

今日（2026-03-25，含03-26 00:24前数据）共披露21起勒索软件事件，涉及7个活跃团伙：

• PLAY（最活跃）：7起（全部美国）
• NightSpire：4起（2起已命名 + 2起匿名）
• INC RANSOM：4起
• Qilin：2起
• Gunra、Payload、akira、MEDUSA：各1起

地理分布：美国14起、印度1起、德国1起、中国台湾1起、巴西1起、英国1起、巴拿马1起。
行业覆盖：房地产、心理健康、会计金融、税务、教育、药品批发、高尔夫俱乐部、工程、保险、环境实验室、制药、赌场酒店等。
数据泄露亮点：

• PLAY继续保持单日7起高频集群攻击。
• NightSpire采用“匿名+实名”混合上架模式，24小时内连续添加4起。
• INC RANSOM新增印度制药巨头Glenmark Pharmaceuticals。
• MEDUSA于03-26 00:24披露路易斯安那州赌场+酒店数据。

详细事件列表

团伙趋势分析

1. PLAY 继续霸榜，单日7起全部美国目标，攻击链高度成熟，覆盖房地产、税务、药品、工程、娱乐等多行业，威慑力极强。
2. NightSpire 突然爆发，24小时内连续添加4起（含2起匿名），显示其正在快速扩充受害者名单，值得重点监控后续数据公布。
3. INC RANSOM 稳定输出4起，新增印度制药巨头，目标从教育/金融扩展到制药领域。
4. 跨国+匿名化 趋势明显：Qilin继续美洲双线作战，NightSpire大量使用匿名上架，MEDUSA凌晨突袭赌场酒店。
5. 传统高价值行业 仍是重灾区，房地产、制药、保险、心理健康、教育等领域反复被盯上。

安全建议

• 美国房地产、税务、制药、赌场酒店、教育及金融服务企业立即核查系统日志与供应链风险。
• 德国暖通企业、印度制药公司、中国台湾企业加强外部暴露面扫描。
• 所有企业紧急验证离线备份可用性，开启多因素认证+EDR，并重点监控PLAY、NightSpire、INC RANSOM相关IOC。
• 明日重点追踪：NightSpire 4起受害者是否转为公开、MEDUSA赌场酒店数据是否开始谈判、PLAY是否继续高频输出。

数据来源：威胁情报全球监控系统

报告编制：NightTeam