安全媒体 Krebs on Security 联合多家威胁情报机构完成溯源调查，目前全球最活跃的勒索即服务团伙 Qilin（曾用名 Agenda）核心管理员、网名为 Haise 的负责人身份被曝光，研究链路指向居住在圣彼得堡的 36 岁俄罗斯男子 Aleksey Mikhailovich Yakovtsev，该团伙采用 RaaS 加盟模式，近三个月就宣称攻击至少 365 家机构，在 2026 年稳居全球勒索攻击数量榜首。这次溯源不是警方正式通报，是依靠历史地下论坛注册记录、泄露数据库、Telegram 账号信息交叉比对得出，Haise 早年在俄系暗网论坛 RAMP 注册账号留下信息，多个账号别名、邮箱、手机号形成关联链条，才被研究员顺藤摸瓜锁定真实身份；该嫌疑人拥有计算机信息系统硕士学位，早期从事信用卡盗刷，之后逐步转向僵尸网络运营、勒索平台搭建。Qilin 给加盟黑客分成比例很高，攻击者可以拿到赎金的 80% 以上，采用双重勒索套路，先盗取企业数据再加密服务器，不支付赎金就把数据放到暗网泄露站，攻击范围覆盖 Windows、Linux、VMware ESXi 虚拟化平台，医疗、工程、服务业中小企业是高频受害目标。需要注意的是，这次身份扒出属于第三方情报研究结论，没有司法判决确认，Qilin 团伙也没有停止攻击，威胁水平没有下降，企业防护依旧不能放松。
Qilin 勒索团伙基础信息简表
| 项目 | 信息说明 |
|---|---|
| 团伙别名 | Agenda |
| 运营模式 | RaaS 勒索即服务，招募全球加盟攻击者 |
| 核心管理员代号 | Haise |
| 攻击策略 | 双重勒索：先窃取数据，再加密文件，威胁公开泄露 |
| 攻击平台 | Windows、Linux、VMware ESXi 虚拟化服务器 |
| 受害行业 | 医疗、建筑、工程、专业服务类中小企业为主 |
| 分成规则 | 加盟攻击者拿走赎金 80%~85% |
研究员溯源锁定身份的线索清单
- 2022 年 Haise 在 RAMP 地下论坛提交注册申请，留下关联 Telegram 账号
- 该 Telegram 账号关联更早的黑客别名 Alexbigboss44、Rjun
- 历史泄露数据中，这些别名和 Aleksey Mikhailovich Yakovtsev 的联系方式绑定
- 情报厂商 Intel 471、Flashpoint 交叉核验多条线索，形成溯源链路
- 所有线索为公开情报溯源，不等同于司法认定
企业防范 Qilin 攻击关键步骤
- 加固公网暴露 RDP、VPN、远程管理工具，关闭弱口令，开启 MFA 多因素认证
- 定期离线备份，备份系统和业务网络隔离，防止勒索程序销毁备份
- 及时修复对外服务漏洞，监控异常账号登录、大量文件加密行为
- 限制内网横向移动权限，监控 Cobalt Strike、Rclone 等团伙常用工具
- 持续跟踪暗网泄露站点，一旦数据被窃取，及时启动应急响应
需要留意的关键点
- 该身份结论是安全研究人员溯源成果，没有执法机关正式认定、起诉判决
- 此前德国抓捕过一名 Qilin 相关嫌疑人，但和本次曝光的 Haise 不是同一个人
- Qilin 允许英语系黑客加盟，和很多只面向俄语圈的勒索团伙不一样
- 就算管理员身份被扒出，团伙的加盟体系还能继续运转，攻击不会立刻停止
【常见问题】
问题 1：全球最活跃勒索团伙 Qilin 头目身份被扒出，Qilin 是什么勒索团伙？
回答 1：全球最活跃勒索团伙 Qilin 头目身份被扒出，Qilin 也叫 Agenda，是 RaaS 勒索即服务团伙，2022 年上线，双重勒索模式，是目前全球攻击数量最高的勒索组织。
问题 2：全球最活跃勒索团伙 Qilin 头目身份被扒出，这次是怎么找到头目的真实身份的？
回答 2：全球最活跃勒索团伙 Qilin 头目身份被扒出，研究员依靠地下论坛注册记录、泄露数据库、Telegram 账号历史信息交叉比对，串联多个黑客别名锁定对应的人员。
问题 3：全球最活跃勒索团伙 Qilin 头目身份被扒出，这个溯源结果是不是警方定论？
回答 3：全球最活跃勒索团伙 Qilin 头目身份被扒出，该结论属于第三方安全情报研究，不是执法机构的官方认定，没有经过法庭判决。
问题 4：全球最活跃勒索团伙 Qilin 头目身份被扒出，企业该怎么防御 Qilin 勒索攻击？
回答 4：全球最活跃勒索团伙 Qilin 头目身份被扒出，企业要做好多因素认证、离线隔离备份、高危漏洞修复，监控内网异常横向移动和文件加密行为。
【参考资料】
[2026-11-12]（Qilin administrator allegedly unmasked）Cybernews
[2026-11-11]（Who Runs the Ransomware Group Qilin?）Krebs on Security
[2026-11-12]（Qilin Ransomware Gang Leader Allegedly Identified as 36-Year-Old Russian Man）GBHackers
[2026-10-28]（Inside Qilin ransomware: ESXi attacks, affiliate networks and double extortion）Acronis
【免责声明】
本文资讯仅为网络安全行业情报科普，不构成应急处置、安全采购建议；Qilin 头目身份为安全研究溯源推论，非司法结论；企业遭遇勒索攻击请第一时间联系属地网安部门与专业应急团队处置。