德国慕尼黑安全文件传输服务商 FTAPI Software GmbH 于 2026 年 9 月 29 日向德国媒体 heise online 确认遭遇安全事件。勒索组织 The Gentlemen 已在暗网泄露站点列出 FTAPI，并设置了约 5 天后「激活」的倒计时。FTAPI 表示攻击者进入的是一台本地部署的内部服务器并部署了勒索软件，但客户平台、客户系统以及客户通过服务交换的文件均未受影响。
事件概述
FTAPI 称于 2026 年 9 月 14 日检测到该事件。处置动作包括：立即隔离受影响系统、引入外部取证团队、在得出可靠的初步结论后通知客户与合作伙伴、履行包括数据保护通报在内的合规申报义务，并向警方提起刑事诉讼。泄露站点条目在检测约 11 天后出现，但所列内容仅为从 FTAPI 官网与 ZoomInfo 摘录的公司概况，未附任何文件样本、数据量或文件目录树。截至目前，尚无经确认的数据窃取证据被公开。
The Gentlemen 采用勒索软件即服务（RaaS）与双重勒索模式，微软将其追踪为 Storm-2697。该组织源自 Qilin 计划的附属集群 ArmCorp，因佣金纠纷于 2025 年年中分离，其后迅速成为按受害者数量计最活跃的勒索组织之一。
技术细节
The Gentlemen 的攻击手法具有较固定的特征：初始访问常借助面向互联网的边界设备漏洞（如 Fortinet 设备的 CVE-2024-55591），随后使用自带易受攻击驱动（BYOVD）在内核层终止端点防护，再通过组策略对象（GPO）实现全域范围的载荷分发，加密算法采用 Curve25519 与 XChaCha20。安全厂商 ZeroFox 观测到该组织在 2026 年 9 月实施了 92 次攻击，目标集中于欧洲与俄罗斯区域。据德国技术媒体 dasTECHNO 报道，FTAPI 受影响服务器存放的是内部服务、测试与实验系统以及前员工的归档邮件，不含生产数据；该细节未获其他信源独立验证，需谨慎看待。
影响评估
FTAPI 的产品本身就是安全地传输敏感数据，客户群体以受 NIS-2、DORA 等法规约束的公共部门、医疗与保险机构为主，公司自述服务超过 2000 家机构、逾 100 万用户。即便客户平台完好无损，一旦内部往来邮件外泄，攻击者便可据此伪造可信供应商身份：冒充 FTAPI 的通知、支持工单或文件分享邀请，正是典型且高效的钓鱼素材。这种信任集中效应，使该事件的真实风险超出技术层面。
修复建议
客户侧：对任何声称来自 FTAPI 的邮件、工单或文件分享邀请提高警惕，通过既有渠道二次核实，尤其警惕要求登录、下载或输入凭据的链接；监控以 FTAPI 名义注册的仿冒域名。
机构侧：及时修补 Fortinet、Cisco 等边界设备的已知漏洞，关闭不必要的对外管理面；部署针对 BYOVD 行为的检测，审计 GPO 变更与计划任务创建；维护离线且经过恢复演练的备份；将关键供应商纳入统一的事件响应与沟通预案。