前言：为什么现在要关注勒索软件

截至2026年6月，勒索软件是全球扩散最快的网络威胁之一。安全研究机构数据显示，仅2025年第一季度就有2,314起受害案例被确认，同比增长213%。平均赎金要求超过270万美元，总恢复成本往往远高于此。

然而，勒索软件并非不可避免的灾难。采取正确预防措施的个人和组织可以大幅降低感染风险。本指南不涉及攻击工具或制作方法，而是从普通用户和小型企业的视角，实用地梳理感染如何发生、如何预防以及感染后如何应对。

1. 勒索软件的运作方式

勒索软件是一种恶意软件，它用强加密算法对受害者的文件进行加密，然后以提供解密密钥为条件索取金钱（通常是加密货币）。不仅仅是加密文件，近年来的勒索软件还常采用双重勒索手法：先将数据窃取到外部，再威胁公开，以获取更多赎金。

典型的攻击流程如下：初始入侵——通过钓鱼邮件、漏洞利用、RDP入侵等方式在系统中建立立足点；横向移动——在网络内探索，控制更多系统和特权账户；加密——充分扩散后对文件进行加密并提出赎金要求。攻击者在触发加密前往往优先破坏或加密备份，因此没有离线备份就意味着失去恢复手段。

2. 四大主要感染途径

2.1 钓鱼邮件

2025至2026年的数据显示，约45%的勒索软件攻击以钓鱼邮件为起点。攻击者冒充银行、快递公司、政府机构或业务合作方，诱导受害者打开恶意附件（Word文档、PDF、ZIP等）或点击伪造链接。生成式AI的出现使攻击者能够批量制作语法正确、个性化的钓鱼邮件，识别难度大幅增加。发件人域名与真实域名存在细微差异、制造紧迫感要求立即行动的内容，是钓鱼邮件的典型信号。

2.2 RDP入侵

若远程桌面协议（RDP）直接暴露在互联网上，攻击者可通过暴力破解或从暗网购买的泄露凭证进行入侵。安全公司的调查显示，RDP入侵是分析过的勒索软件事件中超过50%案例的首要初始入口。

2.3 软件漏洞利用

攻击者针对未打补丁的操作系统、浏览器、VPN设备、邮件服务器等的漏洞发起攻击。一旦新漏洞（CVE）公开，攻击者往往在数天内就开始用自动化工具进行大规模扫描。直接暴露在互联网上的系统风险最高，补丁部署速度是关键。

2.4 恶意下载与供应链攻击

破解软件、盗版内容以及从不可信网站下载的文件中常含有恶意代码。此外，正规软件供应商的更新服务器被入侵、导致恶意代码随正版软件更新传播的供应链攻击也在增加。

3. 预防的五大支柱

3.1 3-2-1离线备份

应对勒索软件最重要的单一手段是可恢复的离线备份。3-2-1规则意味着：

3：保留数据的3份副本

2：存储在2种不同介质上（如本地磁盘＋云存储）

1：其中1份保存在异地（外部位置）

由于96%的现代勒索软件攻击会在加密前主动搜索并破坏备份，CISA及安全专家强烈建议额外增加1份离线（气隙）副本。物理断开网络连接的外置硬盘或磁带备份，是勒索软件无法通过网络触达的。备份存在但无法恢复则毫无意义，因此定期恢复测试同样不可或缺。

3.2 补丁管理与软件更新

漏洞从补丁发布的那一刻起就成为攻击目标。请保持操作系统、业务软件、浏览器、插件和固件的最新状态，尽可能启用自动更新。对于暴露在互联网上的设备（VPN网关、防火墙、邮件服务器），建议参照CISA的已知被利用漏洞（KEV）目录优先打补丁。

3.3 多因素认证（MFA）

对电子邮件、VPN、远程访问、云服务和管理员账户全面启用MFA。即使凭证泄露，有MFA的情况下攻击者也无法通过第二因素验证。认证应用（TOTP）或硬件安全密钥比短信MFA更强固。CISA将MFA列为应对勒索软件最有效的单一预防控制之一，反复推荐。

3.4 最小权限原则

仅向用户和服务账户授予完成工作所必需的最小权限。管理员账户不应用于日常工作，仅在需要时临时提权。即使一个账户被攻破，攻击者可横向移动的范围也会受到限制。离职员工和前外包人员的账户应立即停用。

3.5 邮件安全与RDP限制

部署垃圾邮件过滤器、邮件附件沙箱检测和SPF/DKIM/DMARC配置，从网关层面阻断钓鱼邮件。同时加强用户教育：养成验证发件人域名的习惯，对可疑链接手动输入地址而非直接点击。RDP绝不直接暴露在互联网上，应置于VPN内侧，更改默认端口（3389），并启用账户锁定策略。

4. 感染时的应对流程

重要提示：CISA和FBI不建议支付赎金。支付赎金不能保证获得有效的解密密钥，还会使你成为再次攻击的目标。

4.1 第一步：立即隔离

确认感染后，立即将受影响系统从网络中断开。勒索软件可通过网络共享快速传播，必要时需在交换机层面切断网络。隔离过程中应使用电话等带外通信手段协调响应，避免通过邮件告知攻击者已被发现。不要立即关机或重启感染系统，保留内存状态有助于取证分析。

4.2 第二步：报告

向所在地区的网络安全主管部门报告，如中国国家互联网应急中心（CNCERT）。根据所在行业可能存在法定报告义务。报告不仅是履行法律责任，还可能从当局获得解密工具、威胁情报或调查协助。

4.3 第三步：恢复

首先在NoMoreRansom.org上查找是否有免费的解密工具。若没有，则从离线备份中恢复数据。恢复前必须识别感染途径并打补丁，否则修复后可能立即再次感染。如果Active Directory或特权身份系统已被攻破，务必先清理身份系统再恢复服务器，否则极易发生立即再感染。

5. 个人与小型企业检查清单

预防检查清单

是否将重要文件定期备份到外置硬盘（离线）和云存储两处？

是否在最近6个月内实际测试过从备份恢复数据？

电子邮件、VPN和云账户是否已启用MFA？

操作系统和主要软件的自动更新是否已开启？

RDP是否未直接暴露在互联网上（仅限VPN内部访问）？

是否避免将管理员账户用于日常工作？

打开邮件附件前是否核实发件人地址？

离职员工和前外包人员的账户是否已立即停用？

感染时应对检查清单

是否已立即将感染系统从网络中断开？

是否确认了感染是否扩散到其他系统？

是否已向CNCERT或相关主管部门报告？

是否已在NoMoreRansom.org上查找免费解密工具？

是否确认离线备份未受损？

是否已识别感染途径并打补丁？

是否在恢复服务器前先清理了管理员账户和身份管理系统？

6. 常见问题解答

Q. 感染勒索软件后必须支付赎金吗？

不。如果有离线备份，无需支付赎金即可恢复。即使没有备份，NoMoreRansom.org上也可能存在免费解密工具。CISA和FBI建议不要支付赎金，原因是支付后可能遭到再次攻击，且无法保证获得有效的解密密钥。

Q. 只有云备份是否足够？

不一定。如果感染设备在攻击期间正在同步，勒索软件可能扩散到同步的云存储（如OneDrive、Google Drive等）。请在云备份之外务必保留至少一份离线（断网）副本，并启用云服务的版本历史功能。

Q. 免费可做的最有效预防措施是什么？

启用自动更新、对主要账户启用MFA、定期进行离线备份。这三项措施免费或接近免费，可以防范大多数常见勒索软件入侵途径。

结语：预防永远比恢复更划算

勒索软件单次攻击的平均总恢复成本（含停机、数据损失和修复费用）是基本预防措施成本的数十倍以上。对个人和小型企业而言，离线备份、MFA和自动更新这三项基本措施的组合，是性价比最高的防御手段。

网络安全不是一次性配置就能完成的工作。定期测试备份恢复、关注CISA及各地网络安全机构的最新公告、对员工定期开展钓鱼意识培训，这些习惯构成长期防线。截至2026年6月，威胁环境仍在持续演变，持续关注最新信息本身就是防御的一部分。

参考资料

CISA #StopRansomware指南: cisa.gov/stopransomware/ransomware-guide

CISA勒索软件应对检查清单: cisa.gov/ransomware-response-checklist

NoMoreRansom — 免费解密工具: nomoreransom.org

Veeam — Top Ransomware Attack Vectors: veeam.com

3-2-1-1-0备份规则: i3businesssolutions.com