Operation Endgame 是 Europol 說明的、目前針對勒索軟體助力工具規模最大的國際行動，這次又有新一輪動作，其中 StealC 的部分還延續了 2026 年 6 月開始的行動。
2026 年 11 月 12 日，歐洲刑警組織（Europol）公布這一輪的成果：三種惡意程式背後的伺服器與網域被查封，執法單位還在犯罪者的基礎設施中辨識出超過 600 萬筆被盜的帳號密碼。
這件事和一般使用者有什麼關係？我們來看看官方公布了哪些數字、三種惡意程式各自做什麼，以及怎麼查自己的帳密有沒有在裡面。
這次行動查封了什麼
Europol 的新聞稿指出，Europol 表示，這次行動由 Europol 與各國夥伴及民間單位共同執行，執法單位處置了 235 台伺服器與 257 個網域。目標是所謂的「犯罪即服務（cybercrime-as-a-service）」模式：這些惡意程式被用來進一步犯下勒索軟體攻擊、資料竊取等罪行。
| 惡意程式 | 類型 | Europol 公布的處置 |
|---|---|---|
| Gootloader | 投放程式／載入器（dropper/loader） | 下架 14 台伺服器、218 個網域，並修復 681 個遭入侵的網站 |
| CastleRAT | 遠端存取木馬（RAT） | 查封 120 台伺服器、39 個網域，受害者資料提供給通報平台 |
| StealC | 具投放功能的竊密程式（stealer） | 拆除 102 台伺服器，延續 2026 年 6 月開始的行動 |
資料來源：Europol 新聞稿。
順帶一提，三列伺服器數加起來是 236，和新聞稿寫的總數 235 差了一台，新聞稿沒有說明原因，本文照官方原數字引用。
三種惡意程式分別是什麼
Gootloader：假法律文件加上被駭的網站
依 Europol 說明，Gootloader 透過遭入侵的網站散布假的法律文件，使用者下載後就會被感染，這些網站常是被駭的 WordPress 站台。感染之後，後續可能接著被安裝勒索軟體。
美國司法部（DOJ）也同日發布消息，說明 Gootloader 受害電腦會被納入殭屍網路（botnet），幕後的人再把存取權賣給勒索軟體攻擊者。司法部公布的數字是自 2018 年以來至少 25,000 台電腦被感染、至少 44 名美國受害者遭勒索軟體攻擊，相關損失約 2,880 萬美元。
司法部另外提到，這次行動從超過 100 台伺服器上移除該惡意程式。這個數字和 Europol 的 14 台伺服器、218 個網域是兩個單位各自公布的統計，兩份新聞稿都沒有說明兩者如何對應，這裡不自行換算。
CastleRAT：遠端遙控電腦的木馬
CastleRAT 是 2025 年起就已被發現的遠端存取木馬，攻擊者能從遠端控制被感染的電腦。Europol 的說明提到，它的架構相當新、部署彈性高，並有讓偵測變困難的機制；使用它的攻擊造成大量資料被加密、整套 IT 系統癱瘓，企業與組織被迫付贖金。
StealC：專門偷密碼的竊密程式
StealC 的主要用途，是從受感染的電腦中取走密碼、已儲存的登入資料與數位身分，再拿去交易或進行詐欺。Europol 提到它有多種散布管道，這次拆除的 102 台伺服器，延續自 2026 年 6 月的行動。
640 萬筆被盜帳密是怎麼回事
Europol 新聞稿的標題與小標寫 640 萬筆受害者資料（憑證），內文則寫在這週查封的犯罪者基礎設施中，辨識出超過 600 萬筆受害者憑證，兩處數字不同，新聞稿沒有說明差異，本文兩者都照原文列出。官方說明，這些是被害人電腦遭感染後被盜走的帳號密碼，嫌犯拿來販售，後續再用於勒索軟體等其他攻擊。
Europol 表示，受害者資料將會透過 HaveIBeenPwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、The Shadowserver Foundation 與荷蘭國家網路安全中心（NL-NCSC）等平台提供，提醒受害者其憑證遭 CastleRAT 竊取。
一般使用者可以做什麼
先講最直接的：到 Have I Been Pwned 查自己常用的電子郵件。
- 開啟 Have I Been Pwned 官方網站。
- 輸入電子郵件地址查詢，網站會列出該信箱出現在哪些已知的資料外洩事件中。
- 網站上有「Notify Me」功能，依該網站說明，信箱出現在新的資料外洩事件時會通知你。
Europol 新聞稿的用詞是受害者資料「將會（will be）」透過這些平台提供，截至撰稿時，新聞稿沒有說明各平台何時可查。站長的看法是：查不到不代表安全，建議之後定期再查。
如果查到自己的信箱在名單內，以下是站長自己的建議：
- 先把該信箱關聯的重要帳號（網銀、主要信箱、社群、雲端）密碼換掉。
- 有提供多因素驗證（MFA）的服務一律打開。
- 不要在不同網站重複使用同一組密碼。
- 這類竊密程式是裝在被感染的電腦上，只改密碼還不夠，電腦本身也要用防毒軟體全面掃描。
如果你有經營 WordPress 網站，Europol 的呼籲很明確：更新帳號憑證、啟用多因素驗證，並修補已知漏洞，避免網站被拿來散布惡意檔案。
參與單位
Europol 公布的參與執法單位如下：
| 國家 | 單位 |
|---|---|
| 保加利亞 | 打擊有組織犯罪總局（保加利亞警察） |
| 加拿大 | 皇家騎警（RCMP） |
| 丹麥 | 丹麥警察 |
| 德國 | 聯邦刑事警察局（BKA） |
| 摩爾多瓦 | 國家調查檢查局打擊網路犯罪中心 |
| 荷蘭 | 荷蘭警察、檢察署 |
| 波蘭 | 中央網路犯罪局 |
| 英國 | 國家打擊犯罪調查局（NCA） |
| 美國 | 國防刑事調查局（DCIS）、FBI 丹佛分局、陸軍刑事調查司（Army CID）、司法部刑事司電腦犯罪與智慧財產權科（CCIPS） |
Europol 的歐洲網路犯罪中心（EC3）提供情報分析、金流追蹤與受害者通報支援；Eurojust 協助各國司法機關交換資訊並同步行動。Europol 並表示，Operation Endgame 是目前針對勒索軟體助力工具規模最大的國際行動，有超過 30 個公私部門夥伴參與。
參考資料與延伸閱讀
- Europol：6.4 million victim datasets secured in international operation against malware networks（2026-11-12）
- 美國司法部：Gootloader Malware Disrupted in International Cyber Operation
- Operation Endgame 官方網站
- Have I Been Pwned
- The Hacker News：Operation Endgame Takes Down Gootloader, CastleRAT and StealC Servers, Seizes 6.4M Stolen Logins
發佈留言