Guidepoint Security：2026年度勒索软件与网络安全威胁研究报告（英文版）（53页）.pdf

核心数据速览。 Qilin vs Akira ROI对比：Qilin <$47,000/次 vs Akira <$90,000/次。 Qilin受害者增长：154（2024）→ 1,044（2025），+578%。 法律行业增长：196（2024）→ 455（2025），+132%。 BYOVD可利用驱动：约500个传统驱动（LOLDrivers项目）。 KEV Q1增长：+82.5% YoY。 Qilin零日利用：CVE-2025-31324，披露前至少3周。 Akira漏洞利用窗口：CVE-2024-40766，披露后1年仍被利用。 谈判减价幅度：成功谈判可减少44-80%支付金额。报告核心数据解读。Qilin vs Akira：运营模式与盈利能力对比。| 维度 | Qilin | Akira |||||| 招募模式 | 开放式（暗网公开） | 封闭式（基于关系） || 2025受害者 | 1,044（1） | 813（2） || 平均支付额 | $366,000-457,000 | $366,000-457,000 || ROI/攻击 | <$47,000 | <$90,000 || 谈判灵活性 | 僵化 | 相对灵活 || 2025年关键漏洞 | SAP NetWeaver、Fortinet | SonicWall SSL VPN |BYOVD技术演进时间线。| 阶段 | 时间 | 关键事件 |||||| APT起源 | 2024年初 | Akira率先部署Zemana/Intel驱动 || 广泛采用 | 2024年中 | Qilin、RansomHub集成类似能力 || 商品化 | 2024年底 | PowerTool、“Killer Ultra”出现 || 2025发展 | 2025年 | Akira在SonicWall活动中使用rwdrv.sys/hldrv.sys || 当前状态 | 2026年 | ~500个驱动可被利用 |AI在勒索软件中的应用层级。| 层级 | 状态 | 示例 |||||| 谈判沟通 | ✅ 已部署 | LockBit AI聊天机器人、Qilin AI辅助谈判 || 社会工程 | ✅ 已部署 | AI生成内容规模化个性化 || 数据分析 | ✅ 已部署 | 识别高价值信息、确定赎金金额 || 自主恶意软件 | ❌ 尚未实现 | 完全自主AI决策 || 自进化攻击 | ❌ 尚未实现 | 实时自适应防御 |法律行业风险框架。| 风险因素 | 影响 ||||| 数据敏感性 | 客户PII、PHI、诉讼材料、律师-客户特权 || 连锁影响 | 扩散至客户、对手方、法院、监管机构、保险公司 || 保险暴露 | 更可能持有网安保险，攻击者可参考保单副本 || 安全能力 | 缺乏内部能力，依赖MDR/MSSP |报告独有数据价值——组织级与技术级颗粒度。Qilin完整组织剖析：开放式招募模式、2025年新增功能（Call Lawyer、内部记者、AI谈判）、技术能力（Golang/Rust、Qilin.B AES-256-CTR）、支付率分析。Akira完整组织剖析：封闭式招募模式、SonicWall SSL VPN漏洞利用策略（CVE-2024-40766）、多因素初始访问策略、支付率分析。BYOVD技术完整演进：从2024年Akira首次部署→2025年商品化→约500个驱动可被利用的完整路径。AI在勒索软件中的应用现状：谈判聊天机器人、社会工程、数据分析的实际案例及Anthropic代理AI工具武器化案例。法律行业风险完整框架：数据敏感性、连锁影响、保险暴露、安全能力四大维度的系统分析。KEV漏洞完整数据：Q1 +82.5%增长、Top 10 CWE类别、最受攻击供应商、Qilin/Akira/Clop/PLAY漏洞利用时间线。零日利用窗口案例：Qilin CVE-2025-31324在披露前3周利用、Akira CVE-2024-40766在披露后1年仍被利用。2026年防御建议清单：立即行动（修补边界设备、EDR加固、不可变备份）、短期行动（KEV监控、攻击面减少、AI防御准备）、中期行动（零信任、威胁狩猎、事件响应演练）。谁需要这份报告？ CISO与企业安全负责人：获取组织级威胁情报和防御策略建议。 威胁情报分析师：获取Qilin/Akira深度剖析、TTP演进和AI应用案例。 IT安全运营与事件响应团队：获取BYOVD技术细节、漏洞利用时间线和检测建议。 法律行业IT与安全负责人：获取行业特定风险框架和防御建议。 网络安全产品与解决方案提供商：了解攻击者战术演进和市场需求。FAQ。Q1：为什么Qilin攻击量最大但盈利能力不如Akira？A1：Qilin的开放式招募导致附属成员能力参差不齐，僵化的谈判方式导致支付率较低。平均每次攻击ROI低于47,000美元，而Akira为低于90,000美元。Q2：BYOVD技术为何难以防御？A2：约500个传统Windows驱动可被利用，且传统签名在更新版本发布后仍可被验证。微软已收紧新驱动要求，但不溯及既往——造成持久攻击面。Q3：AI在勒索软件中的实际应用程度如何？A3：2025年主要为战术性应用——谈判聊天机器人、AI辅助社会工程、数据分析。Anthropic案例显示代理AI工具已被用于实际攻击，但完全自主AI勒索软件尚未实现。Q4：法律行业为何成为勒索软件热点？A4：敏感数据（客户PII、PHI、诉讼材料）+ 较弱的内部安全能力 + 更可能持有网络安全保险 + 数据组织化使窃取更广泛。受害者从196名增至455名（+132%）。Q5：2025年漏洞利用的最关键趋势是什么？A5：零日利用窗口正在缩短（Qilin在披露前3周利用CVE-2025-31324），同时旧漏洞持续被利用（Akira在披露后1年仍利用CVE-2024-40766）。补丁缺口是勒索软件盈利的关键驱动因素。完整PDF报告包含内容。以下为完整报告的核心内容模块——下载PDF即可获取全部详细数据、组织名单和技术分析： Qilin和Akira完整组织剖析与支付率数据（基于TRM Labs区块链数据）。 BYOVD技术完整演进时间线（2024-2025）。 AI在勒索软件中应用现状与Anthropic代理AI武器化案例。 法律行业风险完整框架与防御建议。 KEV漏洞完整数据（Q1 +82.5%、Top 10 CWE、最受攻击供应商）。 2025年关键漏洞利用活动完整时间线（Qilin/Akira/Clop/PLAY）。 零日利用窗口案例分析（披露前3周 vs 披露后1年）。 2025年执法行动完整清单与成效评估。 124个活跃勒索软件组织完整名单。 2026年防御建议清单（立即/短期/中期行动）。 完整方法论与数据来源说明。延伸阅读：如需了解行业趋势与战略洞察，可返回查看本报告深度分析页面。数据来源说明：本文数据来源于GuidePoint Security GRIT《2026 Ransomware and Cyber Threat Report》。公开受害者数据来自威胁组织网站和博客；支付率分析基于TRM Labs数据。具体数据来源已在各段落标注。