#StopRansomware 联合公告揭示的勒索软件经济：支付、行业目标与附属成员
由 CISA、FBI 及合作机构联合发布的 #StopRansomware 系列公告，通常被当作事件响应材料来读：失陷指标、战术对照、缓解清单。但把它们放在一起读，它们同时也是一份罕见的公开记录，展示了勒索软件经济是如何组织的。关于 ALPHV/Blackcat、Black Basta 和 Medusa 的公告，用刻意克制的语言描述了谁在干活、访问权如何被买卖、受害者又是如何被推向支付的。
这不是一个团伙，而是一个劳动力市场
Medusa 公告（AA25-071A，2025 年 3 月首次发布、2026 年 8 月更新，FBI 网站亦有刊载）在钱的问题上最为直白。公告称，Medusa 开发者在网络犯罪论坛上招募初始访问经纪人（IAB），向其支付 100 美元至 100 万美元不等的报酬，还提供'独家为 Medusa 工作'的机会；并指出大多数 IAB 同时服务于多个勒索软件变种。网络访问权才是商品；买下它的品牌在很大程度上可以互相替换。 同一份公告还描述了分层级的合作模式：Medusa 于 2021 年 6 月以封闭运作起家，2023 年初转向勒索软件即服务（RaaS）结构，按经验与盈利能力授予下属不同程度的信任。对于较新的下属成员，赎金谈判可能完全由开发者集中掌控。ALPHV/Blackcat 公告和 Black Basta 公告对各自对象的描述如出一辙：均为 RaaS 运作，具名的下属成员按核心团队设定的条件执行入侵与勒索。 泄露站点作为付款机制
在这些公告中，泄露站点不是宣传工具，而是付款流程的一部分。Medusa 的 .onion 站点以倒计时方式列出受害者名单；受害者可以支付 1 万美元加密货币，把计时器延长整整一天。攻击者会为快速付款提供限时折扣，而且按公告所述，其要价基于受害者公开披露的营收。文档还记录了付款之后可能发生的事：一名已付款的受害者被再次联系，被要求再付一半赎金——对方声称是为了'真正的解密器'——而作者直言，根本无法核实被盗数据是否真的会被删除。 Black Basta 公告描述了类似的机制：勒索信给受害者 10 到 12 天时间，之后数据就会被公布在该团伙的 Tor 站点 'Basta News' 上。ALPHV 的更新则记录了市场的另一端：一些下属成员只用窃取的数据进行勒索，根本不部署勒索软件。 机会主义目标，反复出现的行业
这三个团伙没有一个被描述为挑剔。Medusa 攻击者机会主义行事，专门瞄准软件未打补丁的受害者；尽管如此，医疗行业仍是常见受害者，截至 2026 年 4 月，公告统计的 Medusa 受害者已超过 500 家，遍及关键基础设施行业。截至 2024 年 5 月，Black Basta 的下属成员在全球影响了 500 多个组织，覆盖 16 个关键基础设施行业中的至少 12 个，其中医疗行业因依赖技术、且攻击会给病患护理造成中断而被点名为具吸引力的目标。ALPHV 的更新指出，自 2023 年 12 月中旬以来泄露的近 70 名受害者中，医疗行业最为常见——而在此之前，该团伙管理员曾在基础设施遭执法行动打击后发帖鼓动攻击医院。 支付在下降，制裁风险仍在
在支付问题上，美国政府公布的立场是监管性的，而非统计性的。OFAC 于 2021 年 9 月发布的勒索软件付款更新咨询意见指出，美国政府强烈劝阻所有私营企业和公民支付赎金或勒索要求；警告金融机构、网络保险商、事件响应公司等协助方可能因严格责任而面临民事处罚；并载明，凡涉及向受制裁对象支付赎金的许可申请，一律推定拒绝。同一份文件与财政部将交易所 Suex 列入制裁名单（因其为勒索软件收益提供便利）同步公布；文件告诉受害者，尽快向执法部门或 CISA 报告攻击，可以获得自愿披露积分与显著的责任减轻——但也提醒，能否重新拿到数据并无任何保证。 市场数据显示出支付端承受的压力。Chainalysis 测算，2024 年勒索软件收款约 8.1355 亿美元，比 2023 年创纪录的 12.5 亿美元低约 35%，是 2022 年以来首次下降；记录在案的事件中，最终付款的不到一半，报告中引用的一位谈判人员估计，约 30% 的谈判会走向付款。Chainalysis 还观察到，无论开价多少，最终成交额都集中在 15 万至 25 万美元之间——决定最终价格的是谈判，而不是开场数字。 公告为何点名下属成员
这些文档反复呈现的是结构性细节：入侵网络的人、谈判的人、维护勒索软件的开发者、把钱洗出去的服务，是互不相同的参与方，往往分处不同司法辖区。正因如此，公告点名的不是单一品牌，而是下属成员、初始访问经纪人和各类中间人。执法追的是角色：2021 年，财政部制裁交易所 Suex——首个因协助勒索软件收益而被制裁的虚拟货币交易所，牵涉至少八个勒索软件变种——却未将任何特定 RaaS 变种牵连其中。对于追踪泄露站点的读者，实用的结论与我们那篇关于勒索软件泄露站点如何在 .onion 上运作的文章一致：倒计时钟是付款机制，而围绕它的整套机器——经纪人定价、分层下属、协助方的制裁风险——才是这些公告真正记录的东西。
