简而言之
勒索软件是一种恶意软件，它会加密文件，使设备或网络无法使用，随后犯罪分子会索要赎金（通常以加密货币支付）来换取解密密钥 [1][2]。许多攻击者还会窃取数据并威胁将其泄露 [1]。支付赎金并不能保证恢复数据 [2]；最有效的防护是保留最新的离线备份 [3]。
要点
- 勒索软件会加密文件并索要解密费用；“双重勒索”还会加上泄露被盗数据的威胁 [1]。
- 常见的入侵途径包括未打补丁的联网系统、被盗的密码、网络钓鱼以及暴露在外的远程桌面服务 [1][3]。
- 2025 年，FBI 共收到 3,611 起勒索软件投诉，损失超过3200万美元，但 FBI 表示这一数字被人为压低了 [4]。
- Chainalysis 估计，2025 年链上勒索软件赎金支付额下降约 8%，降至8.2亿美元，而声称发动的攻击数量却增加了 50% [5]。
- 英美两国当局都不建议支付赎金；付款并不能保证解密，而向受制裁的组织付款还可能带来法律风险 [1][2][10]。
- 请保留多份备份，其中至少一份离线保存或受到防删除保护，并测试能否成功恢复 [3][8]。
- FBI 表示，与伊朗政府有关联的伊朗境内行为者曾与勒索软件的下游合作者联手，以换取一部分赎金分成 [12]。
本页内容 12 个部分
什么是勒索软件？
美国网络安全和基础设施安全局（CISA）将勒索软件定义为一种旨在加密设备上文件的恶意软件，它会使这些文件以及依赖它们的系统无法使用，随后犯罪分子会索要赎金以换取解密 [1]。这里的加密是指用只有攻击者才持有的密钥把文件打乱。英国国家网络安全中心（NCSC）指出，电脑本身可能被锁定，数据也可能被窃取、删除或加密；而且有些勒索软件会扩散到网络中的其他计算机，就像 2017 年 5 月 WannaCry 袭击英国国家医疗服务体系（NHS）时那样 [3]。
受害者通常会被要求通过一个匿名电子邮件地址或网页联系攻击者，并以比特币等加密货币付款 [2]。微软指出，感染通常不会显露出来，直到某个窗口、应用或全屏消息开始索要钱财——而此时文件往往已经被加密了 [7]。
什么是双重勒索？
随着时间推移，攻击者还会复制受害者的数据，并威胁将其公开，以此施压迫使对方付款；同时使用加密和泄露威胁两种手段，被称为双重勒索 [1]。在某些情况下，犯罪分子甚至完全不加密，而是把被盗数据作为唯一的筹码 [1]。
勒索软件攻击是如何进行的？
英国国家网络安全中心描述了一个典型的过程 [2]：
- 攻击者获得网络访问权限，建立控制，并植入恶意加密软件；他们还可能复制数据，以便威胁泄露 [2]。
- 恶意软件被激活，锁定设备并加密整个网络中的数据 [2]。
- 屏幕上会出现一则通知，说明赎金金额和付款方式，通常是通过匿名网页、以加密货币支付 [2]。
攻击者是如何进入的？
CISA 将最常见的初始访问途径归纳为：面向互联网的漏洞和错误配置、被盗用的凭据、网络钓鱼、先前的恶意软件感染、高级社会工程手段，以及第三方或托管服务提供商 [1]。英国国家网络安全中心表示，越来越多的勒索软件是由攻击者通过暴露在外的服务（例如远程桌面协议 RDP）或未打补丁的远程访问设备获得远程访问后部署的 [3]。对于家庭用户，微软列出的常见途径包括打开意外收到的附件，以及点击电子邮件、社交媒体、即时通讯应用或短信中的恶意链接 [7]。
谁在幕后操纵？
据区块链分析公司 Chainalysis 介绍，勒索软件如今已形成一个由访问权限、基础设施和支付服务相互连接的市场 [5]。2025 年，大型“勒索软件即服务”（RaaS）组织分裂为许多规模较小的独立行为者，一些分析追踪到的活跃勒索团伙多达 85 个 [5]。初始访问经纪人（IAB）负责为进入已被攻破的网络提供便利，让下游合作者——即实际部署勒索软件的犯罪分子——能够较为轻松地发动攻击；Chainalysis 发现，IAB 活动的激增通常比勒索软件付款和数据泄露的增加提前约 30 天 [5]。
勒索软件问题有多严重？
2025 年，FBI 互联网犯罪投诉中心（IC3）共收到 3,611 起勒索软件投诉，高于 2024 年的 3,156 起，报告的损失为 32,320,105 美元 [4]。FBI 提醒，这一损失数字通常不包括业务损失、时间、工资、文件或设备的损失，也不包括第三方修复费用；有些受害者根本没有报告损失，因此得出的损失率被人为压低了 [4]。2025 年被举报最多的变种是 Akira、Qilin、INC./Lynx/Sinobi、BianLian 和 Play，前十大变种影响最多的是关键制造业、医疗卫生与公共卫生以及政府设施 [4]。这一年 IC3 共发现 63 个新变种 [4]。
Chainalysis 估计，2025 年勒索软件行为者收到的链上付款超过8.2亿美元，比其更新后的 2024 年估计值8.92亿美元减少约 8%；然而，声称的受害者数量却增加了 50%，使 2025 年成为有记录以来最活跃的一年 [5]。它认为，支付赎金的受害者比例可能已降至 28% 的历史最低点 [5]。与此同时，赎金支付额的中位数上涨了 368%，从 12,738 美元增至 59,556 美元 [5]。这些数字是通过区块链追踪得出的估计值，随着更多付款被确认归属，可能还会修正 [5]。
单次事件的代价可能非常高昂。Chainalysis 提到了 2025 年捷豹路虎（Jaguar Land Rover）遭受的网络攻击：该攻击导致生产线停工，造成的经济损失估计达19亿英镑，是英国历史上代价最高的网络事件 [5]。
应该支付赎金吗？
官方的指导意见始终如一：只要有可能，就不要付款。CISA 及其合作伙伴不建议支付赎金，因为付款既不能确保数据被解密，也不能确保系统不再受到入侵，更不能确保数据不会被泄露 [1]。英国国家网络安全中心表示，英国执法部门不鼓励、不认可也不纵容支付赎金，并提醒说，即使付款也无法保证恢复访问，而且您更有可能再次成为攻击目标 [3]。它还指出，有些恶意软件只是伪装成勒索软件，实际上是擦除型恶意软件，付款之后文件也不会被解密 [3]。
存在哪些法律风险？
2021 年 9 月，美国财政部海外资产控制办公室（OFAC）更新了一份关于协助支付勒索软件赎金可能涉及制裁风险的公告，强调美国政府强烈反对支付网络赎金，并鼓励受害者报告攻击 [10]。CISA 的指南也指出，支付赎金可能带来制裁风险 [1]。
在英国，政府在开展公众咨询后，于 2025 年 7 月 22 日宣布，将推进相关措施，禁止公共部门机构以及关键国家基础设施的运营者（包括 NHS、地方议会和学校）支付赎金 [9]。根据这些提案，其他企业若打算付款，必须事先通知政府，强制报告制度也正在制定之中 [9]。截至 2026 年 11 月 3 日，读者应查阅 GOV.UK，了解这些措施是否已成为法律。
本文为一般性信息，并非法律或财务建议。面临勒索要求的组织应寻求执法部门、法律顾问和事件响应服务商的帮助。
在家中如何防范勒索软件？
- 备份您重视的内容。英国国家网络安全中心将备份定义为存放在另一个安全位置（例如云存储或移动存储介质）的重要数据副本，并把勒索软件等恶意软件列为您可能失去数据访问权限的原因之一 [8]。
- 至少让一份备份处于断开状态。英国国家网络安全中心建议，外置硬盘和 U 盘等备份设备不应始终保持连接，因为攻击者会把已连接的备份作为目标 [3]。
- 使用版本历史功能。选择能保留历史版本的云服务，因为在文件被替换成加密副本后，云服务往往会立即同步 [3]。微软表示，OneDrive 具备勒索软件检测和文件版本控制功能 [7]。
- 及时更新所有软件。为 Windows 和其他软件打好补丁，并保持“Windows 安全中心”处于开启状态 [7]；英国国家网络安全中心建议尽可能为操作系统、应用程序和固件开启自动更新 [3]。
- 开启“受控文件夹访问”（Windows 10 或 11），保护重要文件夹免遭未经授权的程序修改 [7]。
- 谨慎对待意外收到的附件和链接，包括即时通讯应用和短信中的附件和链接 [7]。
组织机构如何降低勒索软件风险？
FBI 在 2025 年向企业提出的建议包括：采用经过加密且不可变（无法被修改或删除）的离线或异地备份；删除默认密码；禁用不必要的协议；限制管理员权限；为网页邮箱、VPN 和关键系统启用多因素认证（MFA）；进行网络分段；以及及时为面向互联网的系统打补丁 [4]。
CISA 建议保留离线的加密备份并定期测试，因为大多数勒索软件行为者都会设法找到可访问的备份，并将其删除或加密 [1]。它还建议保留“黄金镜像”，即可用于快速重建服务器的预配置系统模板，并且不要把 RDP 等服务暴露在互联网上 [1]。英国国家网络安全中心补充说，组织应规划并演练应对措施，包括在系统不可用时如何维持关键服务运转，以及如何应对勒索要求 [3]。英国政府同样敦促各机构保留离线备份，并制定经过测试的预案，以便在较长时间内脱离 IT 系统运作 [9]。
遭遇勒索软件攻击时该怎么办？
- 隔离受影响的设备。CISA 建议把设备从网络上拔下或断开 Wi-Fi；如果整个网络都受到影响，则应在交换机层面将其断网 [1]。
- 只有在无法断开连接时才关机。CISA 指出，关机会销毁内存中的证据，因此只能作为后备手段 [1]。
- 使用带外通信方式。攻击者可能正在监视电子邮件和聊天工具，因此 CISA 建议在协调应对时使用电话 [1]。
- 先清理设备再恢复。微软建议在尝试恢复文件之前，先用安全软件彻底清理电脑 [7]；英国国家网络安全中心建议对备份进行恶意软件扫描，并且只把备份连接到已知干净的设备上 [3]。
- 查找免费的解密工具。英国国家网络安全中心提到的 No More Ransom 项目为部分勒索软件家族提供解密工具，但并非每种类型都有解决方案 [6][3]。
- 进行举报。在英国，可以向英国国家网络安全中心和“举报欺诈”（Report Fraud）报告事件 [3]；在美国，FBI 请受害者向 IC3 提交报告 [4]。微软表示，已经付款的人应立即联系自己的银行和当地有关部门 [7]。
伊朗与勒索软件活动有何关联？
2024 年 8 月，FBI、CISA 和美国国防部网络犯罪中心发出警告称，一个伊朗境内的网络行为者团伙——FBI 评估认为其与伊朗政府有关联——正在获取美国及其他国家网络的访问权限，并与 NoEscape、Ransomhouse 和 ALPHV（BlackCat）等勒索软件下游合作者合作，以换取一定比例的赎金分成 [12]。该公告指出，这些行为者常常利用 Citrix NetScaler 和 F5 BIG-IP 等网络设备的漏洞入侵 [12]。
2022 年 9 月，美国财政部以从事包括勒索软件在内的恶意网络活动为由，制裁了与伊斯兰革命卫队有关联的十名个人和两个实体；财政部称，该团伙在未经授权的情况下在受害者网络中启用了 Microsoft BitLocker，并扣押解密密钥索要赎金 [11]。以上均为美国机构的调查结论。此类制裁认定，正是 OFAC 警告支付赎金可能带来制裁风险的原因之一 [10]。
常见错误
常见问题
手机会感染勒索软件吗？
会。微软表示，移动设备同样可能感染勒索软件 [7]。
术语表
来源
- #StopRansomware Guide CISA, FBI, NSA and MS-ISAC
- What you need to know about ransomware UK National Cyber Security Centre; retrieved 2026-11-03
- Mitigating malware and ransomware attacks UK National Cyber Security Centre; reviewed 9 September 2021 · 2020-02-13
- 2025 IC3 Annual Report FBI Internet Crime Complaint Center
- Total Ransomware Payments Stagnate for Second Consecutive Year, While Attacks Escalate (2026 Crypto Crime Report) Chainalysis · 2026-02-26
- No More Ransom No More Ransom project; retrieved 2026-11-03
- Protect your PC from ransomware Microsoft Support; retrieved 2026-11-03
- Top tips for staying secure online: Backing up your data UK National Cyber Security Centre; retrieved 2026-11-03
- UK to lead crackdown on cyber criminals with ransomware measures UK Home Office and National Cyber Security Centre · 2025-07-22
- Treasury Takes Robust Actions to Counter Ransomware US Department of the Treasury · 2021-09-21
- Treasury Sanctions IRGC-Affiliated Cyber Actors for Roles in Ransomware Activity US Department of the Treasury · 2022-09-14
- Iran-based Cyber Actors Enabling Ransomware Attacks on US Organizations (AA24-241A) FBI, CISA and DC3 joint Cybersecurity Advisory · 2024-08-28
评论
热门评论