勒索软件是一种加密文件、并索要赎金才肯恢复的恶意软件。本文讲解它的工作原理，以及无需支付赎金就能应对的防御措施（不公开攻击手法）。
工作原理：分工协作的犯罪业务
经典的勒索软件会把终端或服务器里的文件逐一加密，并留下「想要解密密钥就付钱」的勒索信。但当今威胁的本质，与其说在技术，不如说在于变现的机制。
**双重勒索（Double Extortion）**中，攻击者会在加密之前先窃取数据。所以即便受害者能用自己的备份恢复，仍会面临「不付款就公开窃取到的数据」这第二重威胁。「有备份就没事」之所以变得不再管用，正是因为这一变化。再加上 RaaS（勒索软件即服务），让制造工具的人和实际发动攻击的人实现了分工，攻击的门槛大幅降低。
主要入侵途径
勒索软件并非凭空出现，而是经由几乎固定的途径进来。挡住这些途径是第一道防御。
① 钓鱼
来自邮件附件·链接。最常见的途径。对策＝MFA·邮件防护·培训
② 暴露在外的 VPN/RDP
弱口令/无 MFA 的远程连接。对策＝强制 MFA·收紧暴露面
③ 未修补的漏洞
公开软件中已知的漏洞。对策＝迅速打补丁
作为实例，本站也曾介绍过的 MOVEit Transfer 大规模泄露事件，就是一个勒索软件团伙攻破面向互联网的软件中的未修补漏洞、在修复补丁发布前就窃走大量数据的双重勒索型案例。它很好地说明了：勒索软件的入口绝不只是「邮件附件」。
勒索软件与一般恶意软件的区别
勒索软件是恶意软件的一种，但目的和被察觉的时机大不相同（→ 什么是恶意软件）。
| 一般恶意软件（间谍软件等） | 勒索软件 | |
|---|---|---|
| 目的 | 在不被察觉的情况下窃取信息或控制设备 | 让业务停摆，迫使对方支付赎金 |
| 何时被察觉 | 常常长期潜伏而不被发现 | 随着加密和勒索信突然显现 |
| 主要损害 | 数据泄露、非法转账、被用作攻击他人的跳板 | 业务停摆，以及窃取数据被公开 |
| 决定结果的因素 | 检测（EDR）与保护凭据 | 离线备份与不让攻击者进入 |
实例：日本的勒索软件事件
以下是本站报道过的日本案例。入侵口大多是面向互联网的 VPN 设备或被盗的凭据。
| 案例 | 报道的入侵口 | 损害与恢复 |
|---|---|---|
| Capcom（2020） | 未停用的旧 VPN 设备 | 最多约 39 万人的个人数据可能外泄；未付款，依靠备份恢复 |
| 半田医院（2021） | VPN 设备未修补的漏洞 | 备份放在同一网络中，也一起被加密；电子病历恢复用了约两个月 |
| 大阪急性期·综合医疗中心（2022） | 供餐委托方的 VPN 设备 | 经由委托方入侵；门诊、手术和急诊受到限制；完全恢复用了两个多月 |
| KADOKAWA（2024） | 据该公司说明，是通过钓鱼窃取的凭据 | 集团多项服务长期停摆；约 25 万人的个人数据外泄 |
| Medica Shuppan（2026） | 据该公司称，是利用正规账户凭据入侵 | 约 64.1 万人被通知「可能已泄露」 |
它们的共同点在于：面向互联网的入口如何管理，以及备份放在哪里。VPN 设备的防护方法参见 VPN 设备是勒索软件的主要入口。
防御：打造无需付款也能恢复的状态
持有离线/防篡改的备份（最重要）
恢复的决定性手段是备份。但始终在线且可被改写的备份有可能一起被加密，所以要持有至少一份离线、或防篡改（不可变 immutable）的副本。并且要定期做「是否真的能恢复」的恢复演练。详情参见 备份与恢复的基础（3-2-1）。
防止入侵：MFA 与补丁
对最大的途径（钓鱼和暴露在外的远程连接）必须启用多因素认证（MFA）。对外公开的软件要迅速修补已知漏洞。仅此就能阻止大量入侵（→ 如何选择 MFA）。
限制损害：最小权限与网络隔离
为了万一被攻入也不至于全公司被加密，要把权限控制到必要的最小限度，并对网络进行隔离（分段）。把架构设计成一台被攻陷不会蔓延到整体，就能把损害局部化。
准备好检测与「被感染之后」的流程
即便做好了这些防御，也不可能完全预防。所以要尽早检测异常，并事先确定感染时谁该做什么的事件响应流程（隔离·通报·恢复的先后顺序）。在慌忙付款之前，先打造一个能尝试遏制与恢复的体制。
本站的观点：不要依赖付款，要事先做好准备
关于是否该支付赎金这个问题，本站的立场很明确——先做好无需付款也能应对的准备。付了也不保证能解密，若是双重勒索连公开都阻止不了，还要背负为犯罪提供资金、作为「会付钱的对象」被再次盯上的风险。
所以重要的不是事故应对，而是事前准备：能够恢复的离线备份，以及用 MFA·补丁不让攻击者进入。这两者齐备，勒索软件造成的损害就能控制在「麻烦但能恢复的事故」的程度。
发现感染时的第一步
从网络上断开
拔掉网线、关闭 Wi-Fi，阻止它蔓延到其他设备和备份。避免贸然重启或关机，这可能会抹掉调查所需的记录。
联系内部负责人与外部机构
在组织内，使用事先约定好的联系方式。向警方或所在国家的网络犯罪举报渠道报告；如果个人数据可能已泄露，确认数据保护机构的报告规定。
确认有无解密工具和未受污染的备份
如果能从勒索信判断出家族，可以在 No More Ransom 上查找免费的解密工具。同时，确认是否有未受攻击影响的备份。
如何检查自己的环境
- 列出面向互联网的 VPN 设备和防火墙的产品名与版本，查看厂商公告和 CVE / KEV 查询，确认没有残留正被利用的漏洞
- 确认远程桌面（RDP，通常是 3389 端口）无法从互联网直接访问
- 确认 VPN 和远程访问账户都要求多因素认证（MFA），并且没有残留不再使用的账户
- 确认至少有一份备份存放在生产环境凭据无法删除的地方（离线，或开启了不可变设置），并实际从中恢复一个文件试试
「有备份＝安全」已经不再成立
过去只要有备份，勒索软件就不可怕。但如今双重勒索已成主流，用备份「能恢复」和「不让数据被窃取」是两回事。攻击者会在加密之前抽走数据，再逼迫「不付款就公开」。所以防御两者都需要：不仅要能恢复（备份），还要从根本上不让攻击者进入、不让其窃取数据（防止入侵）。不止步于「我们有备份」，正是当今勒索软件防御的出发点。
出处（一手资料）
- 警察庁「ランサムウェア被害防止対策」（日语） — npa.go.jp（受害时的应对与预防）
- No More Ransom, "About the project" — nomoreransom.org（免费解密工具）
- CISA, "#StopRansomware Guide" — cisa.gov（离线备份与应对清单）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」（日语） — ppc.go.jp
接下来阅读
- 入门：备份与恢复的基础（无需付款也能恢复的基础，包括 3-2-1 规则）
- 入门：如何选择双因素认证（MFA）（挡住最大的入侵途径）
- 术语：什么是钓鱼（从源头切断最大的入侵途径）
- 案例：MOVEit Transfer 大规模泄露（攻破未修补漏洞的双重勒索实例）
- 术语：什么是 C2（指挥控制服务器）（感染后从外部远程操控的指挥通信）
- 术语：什么是恶意软件（包括勒索软件在内的恶意软件概览与共通的防御）
- 案例：Capcom 勒索软件事件（2020）（旧 VPN 设备成为入口·双重勒索·未付款即恢复）