关键发现：
- 在2024年10月至2025年10月期间，Qilin是针对能源行业最活跃的勒索软件组织。
- 能源行业勒索软件受害者中，56%位于美国和加拿大。
- 本年度观察到威胁行为者通过恶意广告在谷歌广告上传播虚假应用（如RecipeLister和AppSuite PDF Editor）向能源公司分发恶意软件。
海上能源运营商正经历着网络风险升高且复杂的时期。 2023年，与任何其他工业领域相比，运营技术（OT）和工业控制系统（ICS）安全事件遭受攻击的可能性要高出三倍。英国公用事业公司尤其受到重创，从2022年到2023年，攻击事件激增了586%。此外，去年北约能源安全年度圆桌会议的重点是针对海上风电场和海底电缆的物理和网络攻击，突显了保护关键安全基础设施日益增长的需求。
数字系统位于发电、管道物流、钻井和起重作业以及海上风能资产控制的核心。这意味着网络攻击不再仅仅干扰后台系统，还可能波及海上和陆上的安全、环境影响、市场波动性和服务可用性。
图1. 暗网论坛上的一名威胁行为者正在寻找包括能源行业在内的关键基础设施实体的信息。 海上能源设施，如风力涡轮机、石油和天然气钻井平台，对网络犯罪分子尤其具有吸引力，因为其运营不仅依赖于远程连接，还需要好天气以便工作人员能够前往设施处理任何问题。当天气使得此类行程变得危险时，工作人员必须暂停关键工作，直到可以安全操作为止。
图2. 一名威胁行为者正在寻找能源行业的网络访问权限，以便进行潜在攻击。 犯罪分子了解工作人员何时可以、何时无法作业，并利用这一知识来增加他们在敲诈勒索过程中的筹码。海事安全警报记录了动态定位（DP）故障或传感器问题如何可能迫使钻井或重型起重作业暂停，这使得任何由网络驱动的停机都更加昂贵。
本篇博客将这些风险以清晰的商业术语进行阐述，并将其与可在混合IT、OT和海事环境中实施的实际控制措施联系起来。
针对发电公司的勒索软件攻击
勒索软件组织会选择那些停机代价最惨重的地方下手。能源和海上运营对中断的容忍度极低，因为延误会连锁引发安全风险、环境暴露和市场影响。犯罪分子知道，一条停止的管道或一艘必须暂停钻井的船只每小时的损失都是巨大的，因此受害者面临着尽快恢复系统的巨大压力。殖民管道事件的公开证据表明，一次勒索软件事件如何导致了燃料短缺，并迫使人们做出快速恢复决策，包括确认支付了赎金（其中部分由FBI追回）。在海上，先进的钻井平台日租金通常高达数十万美元，因此即使是短暂的停顿也会造成巨大损失，从而放大勒索的杠杆效应。
图3. Inc勒索软件攻击声称对汤加国有电力供应商汤加电力公司发起了攻击。 尽管针对关键基础设施的勒索软件攻击一直是各国持续面临的威胁，但近年来，能源行业持续遭受这些普遍且无情的攻击，且数量呈上升趋势。
我们自己的研究数据支持这一事实。在《2025年风险雷达报告：能源与公用事业行业》中，我们发现能源行业的勒索软件活动出现了惊人的同比增长80%。
在查看了不同勒索软件组织的数据泄露网站后，发现Qilin是2024年10月至2025年10月期间针对能源行业最主要的勒索软件组织。
Qilin是一个俄语网络犯罪组织，与多起事件有关联。该组织以其激进的策略和高价值目标选择策略而闻名，使其成为针对能源行业最活跃的组织。
表1. 在勒索软件行为者各自的数据泄露门户网站上曝光的属于能源行业的勒索软件受害者数量。 基于数据，还出现了以下区域模式：
- 能源行业勒索软件受害者中，56%位于美国和加拿大。
- 亚太地区发生了大量勒索软件攻击，特别是针对澳大利亚、印度、印度尼西亚、新加坡和泰国的能源公司。
- 在欧洲，针对能源公司的勒索软件攻击处于中等水平，尤其是位于德国、英国、法国和意大利的公司。
- 针对拉丁美洲（巴西、阿根廷、智利和哥伦比亚）能源公司的勒索软件攻击数量也在增加。
- 勒索软件行为者还针对了中东一些国家的能源公司，如阿联酋、卡塔尔、阿曼和约旦。
- 非洲（肯尼亚、乌干达和博茨瓦纳）的勒索软件活动有限。
数据还指出，勒索软件行为者瞄准了以下关键基础设施：
- SCADA系统：工业控制系统
- 能源管理：电网控制和监控系统
- 远程设施：海上和偏远能源设施
- 供应链：能源服务提供商
能源公司掌握着犯罪分子可以通过多种方式变现的数据。这包括运营计划、工程文件、交易和客户信息，以及可持续性或碳排放报告数据集。一些影响能源供应商的事件（例如某公司在2024年底的事件）说明了攻击者如何窃取敏感数据，然后通过双重甚至三重勒索向供应商和下游客户施压。
今年早些时候，加拿大某电力公司遭遇了勒索软件攻击，影响了其IT和网络运营。该公司被迫关闭受影响的服务器，导致运营中断和客户服务延误。
在未经授权的入侵期间，勒索软件行为者窃取了某些客户信息，包括姓名、电话号码、电子邮件地址，以及客户的付款、账单和信用记录。在5月23日发布的更新中，该能源公司确认勒索软件行为者公布了窃取的客户数据，并且他们没有支付赎金。受影响的客户已得到相应通知，并获得了为期两年的免费信用监测服务，后来该服务延长至五年。
影响能源行业的数据泄露
从能源公司及其供应商那里窃取的材料涵盖工程和运营文件、身份数据、合同和内部通信，犯罪分子会将这些信息重新用于针对性钓鱼攻击和后续访问。
图4. 一名威胁行为者分享了据称通过入侵一家能源公司获得的一些面板访问权限。 去年，某能源服务公司确认，一起安全事件导致公司信息被窃取，包括对公司部分支持其运营和企业职能的业务应用程序的有限访问权限。
供应链漏洞在MOVEit攻击活动中放大了这种暴露风险，攻击者通过单个文件传输漏洞从某能源公司、某石油公司澳大利亚子公司以及多个某政府能源实体窃取文件，最终有数百家组织被列为受害者。即使核心运营未受干扰，泄露的数据集也会给员工、客户和合作伙伴带来长期的尾部风险。一旦公布，能源行业的泄露信息很难遏制。对手和第三方追踪者会记录受害者名单并重新发布存档数据，这给运营商及其客户持续施压，并使得针对现场和办公室工作人员的社会工程攻击得以反复进行。
图5. 威胁行为者正在出售据称通过入侵一家位于阿根廷的能源公司获得的136GB数据。 即使核心运营未受干扰，泄露的数据集也会给员工、客户和合作伙伴带来长期的尾部风险。
图6. 一则关于一家业务涵盖包括能源行业在内的多个行业的跨国集团数据泄露的暗网论坛帖子。 一旦公布，能源行业的泄露信息很难遏制。对手和第三方追踪者会记录受害者名单并重新发布存档数据，这给运营商及其客户持续施压，并使得针对现场和办公室工作人员的社会工程攻击得以反复进行。
暗网上出售的能源公司访问权限
针对能源和海上运营商的初始访问权限销售是地下论坛的一个常态特征。经纪人通过窃取的凭证和受攻击的边缘设备获取立足点，然后将“网络访问”权限出售给出价最高者。此类广告通常宣传RDP或VPN入口，指明受害者的国家和收入，并使用拍卖术语如起始价、加价和一口价来标示起拍价、增量和立即购买价。
图7. 一则威胁行为者出售某能源公司访问权限的暗网广告。 定价旨在快速成交。最近的访问经纪人评论显示，大多数企业级访问权限以数百美元的低价出售，典型价格区间在约500美元到3,000美元之间，偶尔对高价值环境会开出五位数要价。访问类型已从主要是RDP转向更多的VPN和其他远程服务，这反映了攻击者现在如何大规模窃取凭证并滥用外围设备。这些市场为勒索软件和数据窃取团伙提供原料。市场和论坛显示，经纪人的发帖量逐年保持稳定，许多产品捆绑了可用的用户权限，使得买家能够更快地转向文件服务器、电子邮件和与OT相关的跳板机。
图8. 一则据称提供某电力发展委员会完全访问权限的暗网广告。 这些市场为勒索软件和数据窃取团伙提供原料。市场和论坛显示，经纪人的发帖量逐年保持稳定，许多产品捆绑了可用的用户权限，使得买家能够更快地转向文件服务器、电子邮件和与OT相关的跳板机。
恶意软件攻击
本年度，我们观察到威胁行为者通过谷歌广告上的恶意广告向能源公司分发特定恶意软件。
2025年6月，我们观察到威胁行为者通过恶意广告向能源行业分发一种虚假的RecipeLister应用程序进行恶意软件传播。通过恶意广告传播的恶意软件伪装成一个食谱实用程序应用。该可执行文件使用NSIS（Nullsoft脚本化安装系统）在临时用户目录中静默安装Electron应用程序并在无用户交互的情况下启动它。安装后，恶意软件会窃取敏感凭证，并使威胁行为者能够建立持久性并运行远程命令。
图9. 恶意的RecipeLister实用程序应用。 8月，我们发现网络犯罪分子通过谷歌广告上的恶意广告向能源公司分发AppSuite PDF后门程序。AppSuite PDF也被称为“PDFEditor”或“ManualFinder”，是一种通过外观合法的网站传播的特洛伊木马化应用程序，用于凭证窃取和代理创建。
根据我们的观察，恶意的“AppSuite-PDF.msi”文件通过浏览器直接在多个系统上被用户下载。恶意软件伪装成合法的PDF阅读器，可通过不同的网站下载。该应用程序使威胁行为者能够建立持久性并运行远程命令。
图10. 恶意的AppSuite PDF Editor。
钓鱼攻击
钓鱼攻击是所有行业（包括能源行业）流行的攻击媒介。根据一份安全杂志的报告，2023年针对OT和ICS系统的攻击中，有34%是由钓鱼攻击造成的。
最近，一种名为“Power Parasites”的钓鱼骗局开始针对能源公司，他们模仿能源公司的网站和社交媒体品牌，诱骗潜在的求职者和投资者在不知情的情况下提供个人敏感信息和银行信息。
除了创建看似合法的登陆页面外，Power Parasites行为者还滥用Telegram等通信平台来欺骗受害者并实施攻击。大多数Power Parasites受害者位于孟加拉国、尼泊尔和印度。
据报道，Power Parasites团队利用了多家知名能源公司的品牌，包括某能源公司、某公司、某能源公司、某公司和某能源公司。
结论
尽管海上能源公司主要专注于创造清洁能源以促进经济、创造就业机会并满足巨大的能源需求，但这不应是他们唯一的关注点。随着网络安全挑战如潮水般不断演变和涌现，海上能源组织必须优先考虑安全，以保持其运营不受阻碍地运行。在一份涉及600名能源专业人士的调查报告中，64%的受访者认为他们的组织更容易受到网络攻击，59%的受访者表示他们的公司将在2023年至2024年期间投资于网络安全。
海上能源公司可以通过基于异常的入侵检测系统、人工智能驱动的预测性维护和智能自动化保持安全性和韧性，确保全球范围内可再生能源事业的扩展。
