勒索软件（ransomware）是一种恶意软件，会把企业的文件和系统加密或锁定，使其无法使用，然后要求受害者付款换取解密密钥。如今很多攻击会先复制数据，加密之后再威胁公开。对中小企业来说，这可能意味着一连几天无法访问财务文件、客户记录或共享盘。
攻击者通常先进入系统，四处摸查，尽量窃取数据，最后才在尽可能多的电脑上触发加密。也就是说，防守方其实有好几次机会拦截攻击。
勒索软件通常从哪里入侵
- 钓鱼邮件：恶意附件或指向虚假登录页面的链接，让攻击者控制员工账号或笔记本电脑。
- 暴露在外的远程访问：可从互联网直接连接的远程桌面（RDP）、VPN 或远程协助工具，特别是密码较弱或没有第二重验证的情况。
- 未打补丁的系统：防火墙、VPN 设备、服务器、网站或插件中的已知漏洞，补丁早已发布却没有安装。
- 被盗或重复使用的密码：从其他服务泄露、被猜中或通过钓鱼获取的登录凭证，被用来冒充真实用户登录。
什么是“双重勒索”
在双重勒索中，攻击者会先把数据复制出去，例如客户信息、合同或人事档案，然后以“恢复访问”和“不公开数据”两件事同时索要赎金。因此，即使备份做得很好，也无法消除全部风险：系统可以恢复，被盗的数据仍可能泄露。
如何降低风险
没有哪一种工具能单独挡住勒索软件。下面这些措施可以提高入侵难度、限制扩散范围，并让恢复成为可能。
- 及时打补丁：持续更新操作系统、防火墙、VPN、服务器和网站软件，优先处理暴露在互联网上的系统。详见补丁管理。
- 启用多重身份验证：邮箱、远程访问、云管理控制台和财务系统都应要求 MFA，这样即使密码被盗也无法直接登录。
- 关闭或保护远程访问：不要让 RDP 直接暴露在互联网上；远程访问应放在启用 MFA 的 VPN 或网关之后，并删除不再需要的账号。
- 使用强且唯一的密码：借助密码管理器，员工才能真正做到。
- 坚持最小权限：人员和服务账号只获得工作所需的权限，管理员权限与日常账号分开。基于角色的访问控制（RBAC）和零信任思路，有助于限制单个失陷账号能触及的范围。
- 保留离线或不可篡改的备份：重要数据至少要有一份勒索软件碰不到、也改不了的副本，例如已断开连接的硬盘，或支持不可篡改、版本锁定的备份服务，并定期演练恢复。从没恢复过的备份只是假设，不是方案。
- 过滤邮件：用好邮件平台自带的过滤功能，拦截恶意附件和链接，并配置 SPF、DKIM 和 DMARC，让他人更难冒用你的域名。
- 培训员工：定期做简短提醒，教员工识别钓鱼邮件，并提供清晰、不追责的渠道，方便他们尽快报告可疑邮件或误点链接。
- 检验防御：渗透测试可以赶在攻击者之前，找出哪些系统暴露在外。
遭到攻击后怎么办
提前拟好并达成共识的简单书面预案，能帮助员工在最初几小时保持冷静。
- 隔离受影响的设备：断开网络（拔掉网线、关闭 Wi-Fi），减缓扩散。在得到专业建议前，不要把所有电脑直接关机，否则部分证据可能丢失。
- 先不要清除或重装：保留勒索信、日志和受影响电脑的原状，等 IT 服务商或应急响应人员检查。
- 联系 IT 服务商：他们可以帮助确认影响范围、检查备份是否完好，并规划干净的恢复。
- 在干净的设备上更换凭证：重置邮箱、管理员和远程访问账号的密码，并检查 MFA 设置。
- 报案：向香港警务处报告事件，并可考虑联系香港电脑保安事故协调中心（HKCERT）寻求指引。请使用其官方网站公布的联系方式。
- 核查个人资料方面的责任：如果个人资料可能已被访问，请向法律或合规顾问确认是否需要通知香港个人资料私隐专员公署（PCPD）及受影响人士。
常见问题
应该支付赎金吗？
执法机构和网络安全机构一般建议不要付款。付款既不能保证拿到可用的解密密钥，也不能保证被盗数据会被删除，更不能保证以后不会再次成为目标。任何决定都应与应急响应人员和顾问商量，不要独自与攻击者谈判。
云存储能保护我们免受勒索软件侵害吗？
不一定。同步文件夹可能把已加密的文件上传，覆盖原本完好的版本；攻击者拿到云管理员凭证后，也能删除数据。请确认服务是否提供可用于恢复的版本历史或保留策略，用 MFA 保护管理员账号，并另外保留一份独立备份。
装了杀毒软件就够了吗？
终端防护有用，但攻击者经常使用盗来的凭证和正常的系统工具，杀毒软件未必会报警。它需要与补丁、MFA、最小权限和经过测试的备份配合，效果才最好。
小企业真的会成为目标吗？
很多攻击并非针对特定公司：自动扫描会寻找任何暴露在外的远程访问或未打补丁的系统，不论公司规模。小公司的防护往往较少，反而可能更容易成为目标。
如需帮助检查系统暴露情况、备份和应急预案，请查看我们的网络安全及合规服务。