勒索病毒现在不只锁文件了，先偷再做——三层防线怎么搭

付了赎金，图纸还是被挂出来了

广东一家做汽车零部件的企业，去年被勒索病毒攻击。IT部门熬了两天两夜，最后咬着牙付了赎金，文件确实解开了。本以为这事就这么过去了，三个月后，一套新产品的完整设计资料出现在一个行业论坛上，连带着还有客户名单和供应价格表。老板才明白过来：这帮人早就把数据拷走了，加密只是逼他掏钱的手段。数据被偷这一层，赎金根本买不回来。

这就是这两年勒索攻击最大的变化——从"加密勒索"升级成"先窃取、再加密、双重勒索"。你付钱，文件能解，但数据照样被卖；你不付，既丢数据又丢业务。传统的"有备份就不怕"这套逻辑，已经不够用了。

只防加密，等于只挡了一半

大多数企业对付勒索的思路是：装杀毒、打补丁、做备份。这三样都要有，但都有漏洞。

杀毒软件对付的是已知样本，新型勒索变种往往绕过；打补丁只能堵已知漏洞，攻击者还走钓鱼邮件、弱口令、远程桌面爆破这些路；备份能恢复数据，但恢复不了"已经被偷走"这件事，而且如果备份盘和业务网连在一起，勒索病毒会顺手把备份一起加密。

更关键的是，很多企业的核心资产躺在文件服务器和研发电脑上，是明文。攻击者一旦拿到内网权限，第一件事就是找这些明文文件，打包外传，然后才动手加密。文件本身没设防，前面所有防线就都成了摆设。

上邦建议的三层防线

第一层，让数据被拿走也没用。核心文档全盘加密，文件在服务器和终端上都是密文。攻击者就算拿到文件，没有密钥也只是乱码。这一层是根本——它把"数据被窃取"从"必然损失"降级成了"拿到也没用"。

第二层，管住入口和横向移动。远程桌面不许直接暴露在公网，改用VPN加双因素认证；员工账号最小权限，普通账号碰不到核心目录；共享盘的权限按项目、按角色收紧。勒索病毒爱走横向，权限切碎了它就跑不远。

第三层，备份要离线、要隔离。3-2-1原则落地：至少三份数据、两种介质、一份离线。备份服务器不和业务网直连，备份完成即断开。定期做恢复演练——没演练过的备份，不能算备份。

防勒索的本质是降低攻击价值

勒索攻击是一门生意，攻击者算的是投入产出。如果你的数据被偷走是乱码，内网跑不动，备份解不开，这笔生意的收益就为负，攻击者自然会去找更好啃的目标。

安全做不到百分之百不被攻破，但可以让攻破之后"没什么可拿"。文档加密加权限管控加离线备份，这三件事凑齐了，勒索病毒在你这里就赚不到钱。