重点摘要
- 对你公司的风险：一次勒索软件攻击可能令业务停摆数天、客户与员工数据外泄，并同时牵涉报警、隐私及监管通报。
- 勒索软件是加密文件再索取赎金的恶意程序；如今多数团伙会先窃取数据，因此仅靠备份无法完全化解威胁。
- 主要入侵途径包括钓鱼邮件、对外开放的远程登录、未修补的防火墙、VPN 与 NAS，以及被盗密码。
- 四个习惯可以挡住大部分攻击：及时更新、全面启用多重认证、保留一份离线且独立登录的备份、员工及早举报可疑邮件。
- 一旦中招：断开受影响电脑的网络但不要关机，保留证据，并致电 HKCERT（8105 6060）及报警。
周一上午，财务部第一个发现问题：所有报表都打不开，文件后缀变成一串陌生字符，服务器上多了一份说明：「数据已被复制，七天内不付款即公开。」
这就是勒索软件。下面说明它是什么、从哪里进来，以及你这一周就能落实的防范措施。
什么是勒索软件？
勒索软件（Ransomware）是一种恶意程序，会把企业的文件和系统加密或锁定，再要求以加密货币支付赎金换取解锁密钥。如今大多数团伙在加密之前已先窃取数据并威胁公开，所以即使备份完好，企业仍面对外泄压力。
可以把它理解为一个入室的窃贼：换掉办公室所有门锁，临走前复印了整个文件柜，再留下一张标好价钱的纸条。
勒索软件早已产业化。在「勒索软件即服务」（RaaS）模式下，开发者把工具出租给「加盟者」，由后者负责入侵并按比例分成，可参考 HKCERT 的勒索软件专页。
据香港警方网络安全及科技罪案调查科《2025 网络安全报告》，2025 年香港共录得 31,571 宗科技罪案，其中勒索软件案件 43 宗。这只是向警方报案的数字。
勒索软件是如何运作的？
典型攻击分为五步：先入侵，然后在网络中潜伏数天到数周，复制有价值的数据，删除或停用备份，最后选在夜间或周末人手最少时一次性加密全部文件，让企业措手不及，难以及时止损。
香港案例：2026 年 6 月，老字号饼家奇华表示内部网络系统遭勒索软件攻击，员工、业务伙伴、网店客户及会员数据可能受到影响。公司已通知个人资料私隐专员公署并报警，门店照常营业（《英文虎报》，2026 年 6 月）。
攻击的五个阶段
- 入侵：利用被盗密码、钓鱼邮件或未修补的对外设备。
- 横向移动：收集管理员密码，摸清文件服务器、邮件系统及备份位置。
- 窃取：复制客户名单、合同、人事及财务文件。
- 破坏：删除备份，关闭杀毒和安全工具。
- 加密与勒索：锁定文件，留下赎金说明及期限。
常见入侵途径一览
- 钓鱼邮件中的附件或链接，安装恶意程序或骗取密码
- 远程桌面（RDP）、VPN 或远程协助工具直接暴露在互联网上，且密码薄弱或重复使用
- 未修补的防火墙、VPN 网关及 NAS 网络存储设备
- 员工电脑感染信息窃取程序，密码被放到网上出售
- IT 外包商的远程访问权限被滥用
- 盗版软件、伪造的浏览器更新及带毒 U 盘
警方复盘 2025 年事件后指出，远程访问服务和边界设备仍是最主要的入侵途径；若备份系统与生产系统共用同一套登录，往往会被一并摧毁（《2025 网络安全报告》）。HKCERT 亦曾提醒远程访问工具及 NAS 用户提防勒索软件。
勒索软件有哪些类型？
勒索软件主要有四类：加密文件的加密型、锁定整台设备的锁屏型、先窃取数据再加密的双重勒索，以及完全不加密、只以公开数据相要挟的纯数据勒索。目前新闻中常见的案例，大多属于双重勒索，企业须同时应对停摆与外泄。
| 类型 | 手法 | 对企业的影响 |
|---|---|---|
| 加密型 | 加密文件和数据库 | 需从备份恢复或取得密钥，业务才能恢复 |
| 锁屏型 | 锁定屏幕或整台设备 | 较少针对服务器，但会令个别电脑瘫痪 |
| 双重勒索 | 先窃取数据，再加密 | 即使备份完好，仍要面对外泄威胁和隐私责任 |
| 纯数据勒索 | 只窃取数据，不加密 | 系统照常运行，但客户和监管机构可能仍需知情 |
因此，管理层要问的已不只是「能否恢复」，而是「对方拿走了什么」。
如何识别勒索软件入侵？
最明显的信号是文件突然打不开、后缀变成陌生字符，并出现赎金说明。更早期的信号则较隐蔽：出现不明管理员账户、杀毒软件被关闭、备份任务失败，以及非办公时间有大量数据外传。
- 出现新的或来历不明的管理员账户
- 多台电脑的杀毒或终端防护同时被停用
- 备份任务失败，或备份文件被删除
- 深夜或周末出现大量数据外传
- 同事收到并非本人发起的重置密码邮件或多重认证提示
- 大量文件被批量改名，每个文件夹多出一份文本文件
一旦发现早期信号，应立即按安全事件处理。加密通常是攻击的最后一步，越早察觉，越有时间止损。
如何防范勒索软件？
防范的关键在于四个习惯：系统及时更新、所有登录启用多重认证、至少保留一份离线且独立登录的备份、员工发现可疑邮件立即上报。这些措施成本不高，多数事件都源于一个被遗忘的例外，例如一个无人管理的旧远程账户。
个人：手机和电脑设置
- iPhone 自动更新：设置 → 通用 → 软件更新 → 自动更新 → 打开「iOS 更新」
- iPhone 备份：设置 → [你的名字] → iCloud → iCloud 云备份 → 打开「备份此 iPhone」
- Android 更新：设置 → 系统 → 软件更新（三星：设置 → 软件更新 → 通过 Wi-Fi 自动下载）
- Android 备份：设置 → 系统 → 备份 → 打开「Google One 备份」
- Windows 11 电脑：设置 → 隐私和安全性 → Windows 安全中心 → 病毒和威胁防护 → 勒索软件防护 → 打开「受控制文件夹的访问」
以上路径整理于 2026 年 11 月，菜单名称会因系统版本和手机品牌略有差异。
中小企业及 IT 团队
- 关闭对外开放的远程桌面，远程访问一律经 VPN 并启用多重认证（MFA）
- 防火墙、VPN 网关及 NAS 一旦发布严重漏洞补丁，数天内完成更新
- 执行 3-2-1 备份原则：三份副本、两种介质、一份离线或不可篡改，并使用独立登录
- 每季度实际做一次恢复演练，而不只是确认备份任务成功
- 员工使用普通账户，管理员权限只交给指定 IT 人员
- 安全日志至少保留 90 天；警方指出日志不足严重拖慢了 2025 年的调查
- 每年至少请独立团队测试一次对外系统，因为警方把攻击面管理列为首要防线
公司场景：「老板」急着要转账
勒索团伙入侵后，往往会先潜伏在公司邮箱里数周。有的利用真实发票向客户发出「更改收款账户」通知，有的冒充董事要求财务「低调处理」，紧急转账。
公司规则：凡是更改收款账户或紧急付款的要求，财务必须先用公司存档的电话号码回拨核实，绝不使用消息中提供的号码。是否支付赎金，只能由董事会在法律意见下决定，不能由一个人拍板。
可直接转发的员工通知
【IT 通知】勒索软件警报：即使是熟人发来的意外附件或「发票」链接，也请不要打开。
如文件打不开或后缀突然改变：立即拔掉网线或关闭 Wi-Fi，切勿关机，并马上致电 IT（[内线号码]）。
财务同事：任何更改银行账户的要求，必须用公司已有的电话号码回拨核实。
谢谢配合。60 秒自查清单
- 远程桌面是否已对外关闭？
- 所有邮箱和远程登录账户是否都已启用多重认证？
- 是否至少有一份离线、独立登录的备份？
- 过去 90 天是否真正从备份恢复过文件？
- 同事是否清楚文件打不开时该联系谁？
中了勒索软件该怎么办？
第一步是隔离：把受影响电脑断网，但不要关机，然后通知 IT 负责人。随后保留证据、确认备份是否完好，并向警方及 HKCERT 求助。在与攻击者有任何接触或决定是否付款之前，务必先取得法律意见。
- 隔离：拔掉网线、关闭 Wi-Fi、断开共享盘。不要关机，内存中可能留有证据。
- 保留证据：拍下赎金说明和屏幕画面，暂时不要清除或重装系统。
- 保护账户：用一台干净的设备，重置管理员、邮箱及远程登录密码。
- 求助：报警（紧急时拨打 999），并致电 HKCERT 24 小时热线 8105 6060。
- 个人数据：如客户或员工数据可能外泄，评估是否通知个人资料私隐专员公署及受影响人士。
- 关键基础设施营运者：根据第 653 章，严重事故须在知悉后 12 小时内通报，其他事故为 48 小时内。
- 寻找免费解密工具：部分较旧的勒索软件，可在 No More Ransom 找到免费解密工具。
警惕主动联系你、声称能「追回数据或款项」的人。HKCERT 在 2026 年 5 月已警告，有假网站冒充警方反诈骗协调中心（HKCERT 警报）。可疑电话或网站可用「防骗视伏器」查核，或致电「防骗易」热线 18222（反诈骗协调中心）。
勒索软件与其他恶意程序有什么区别？
勒索软件属于恶意程序的一种，但大部分恶意程序并不是勒索软件。病毒、木马和间谍软件通常尽量隐藏，悄悄窃取或破坏数据；勒索软件却希望被你发现，因为它的商业模式依赖你看到说明并付款，所以会立即造成业务停摆。
两者其实环环相扣。今天悄悄窃取已保存密码的信息窃取程序，往往就是下个月勒索团伙的入口。因此，及早清理看似「轻微」的恶意程序感染，本身就是防范勒索软件的一部分。
勒索软件是业务连续性风险，不只是 IT 问题
勒索软件得手，通常是几个小漏洞恰好连成一线：一个开放的远程登录、一台未更新的设备、一份与其他系统共用密码的备份。把这些漏洞堵上，提前演练事件发生后的第一小时，再给财务定一条简单的核实规则。
没有企业能做到绝对无法被攻击，但你可以让攻击者觉得你比下一家更慢、更麻烦、更无利可图，这往往已经足够。
赶在攻击者之前，找出企业的漏洞
勒索软件几乎都是从本可提早发现的缺口进入：暴露在外的登录、未修补的设备、薄弱的内部权限。渗透测试由持证白帽黑客在约定范围内模拟这些攻击路径，按风险排列修补清单，修补后再复测确认。
常见问题
企业应该支付赎金吗？
包括 HKCERT 在内的安全机构一般不建议付款。付款不保证拿到可用的密钥，也不保证被盗数据会被删除，还会资助日后的攻击。任何决定都应与法律顾问及保险公司商讨。
只靠杀毒软件能挡住勒索软件吗？
不能。杀毒软件有帮助，但攻击者常用被盗密码登录，并先关闭杀毒。你还需要多重认证、及时更新、离线备份，以及对异常活动的监控。
不付款能恢复被加密的文件吗？
有时可以。首先从干净的离线备份恢复；部分较旧的勒索软件，可在执法机构与安全公司合办的 No More Ransom 网站找到免费解密工具。
网络保险是否覆盖勒索软件攻击？
不少保单覆盖事件响应及业务中断损失，但条款各异，保险公司通常要求已启用多重认证和备份。请在事件发生前确认保单内容及通报时限。