勒索病毒赎金该不该交：企业遇到勒索该怎么决策

一、先明确一件事：交赎金不是“买服务”

勒索团伙不是服务商，付钱之后没有任何履约义务。现实中的常见结果有三类：

· 付了不给密钥：小额测试解密通过，付了全款后失联或被要求追加；

· 给了密钥但解密失败：部分文件因加密过程被打断而无法还原，密钥也不能解决；

· 被再次攻击：付款本身向对方证明“这家企业愿意付钱”，可能招来第二次、第三次勒索。

此外，向勒索团伙付款在部分司法辖区存在合规与制裁风险，涉及跨境业务的企业尤其要注意这条。

所以“交不交赎金”不该是第一个问题，它应该是所有技术路径走完之后的最后选项。

二、正确的决策顺序

第一步：停机断网、保留现场。先切断受感染主机与存储的网络，防止横向扩散，

不要重装系统或格式化——现场信息是后续判断的基础。

第二步：评估备份。离线备份、磁带、云冷备、只读从库能回到什么时间点？

备份本身有没有被加密？备份的还原演练做过没有？（很多企业的备份从未验证过，真出事才发现不可用。）

第三步：找未加密的副本与残留。Windows 卷影副本（VSS）、版本化备份系统、

Office 自动恢复文件、邮件附件里的旧版本、被中断的加密过程中残留的文件段——

这些往往能救回一部分甚至大部分数据。

第四步：确定加密家族与可逆性。加密是否完整执行、是否只加密了文件名与头部、

是否属于已有公开解密工具覆盖的家族。这一步决定“靠技术能不能不付钱解决”。

第五步：只有在前面都无路可走时，才谈赎金（且需评估合规与法律风险）。

三、安全厂商与数据恢复方各做什么

安全厂商负责“不再扩散、不再发生”：排查入侵入口（暴露的公网端口、弱口令、钓鱼邮件、

未修补漏洞），清理持久化后门，做应急响应与取证，加固网络与账号策略。

数据恢复方负责“把还在的数据取出来”：在镜像上做结构分析与文件提取，

处理数据库与虚拟化平台的一致性问题，尽量恢复未被覆盖的内容，出具完整性报告。

两条线应当并行，而不是把服务器交给一方“一起弄完”。

四、事后必须补的功课

1. 关键数据保留离线备份，并定期做还原演练；

2. 远程管理端口、数据库、文件共享不直接暴露在公网，用强口令与多因素认证；

3. 及时修补漏洞，限制账号权限与横向移动路径；

4. 保留卷影副本与版本化备份，让“有旧版本可取”成为最后一道保险；

5. 建立应急预案：谁负责停机、谁负责对外沟通、谁是数据恢复方联系人。

补天时代（深圳市补天时代科技有限公司）长期处理勒索病毒加密后的服务器、阵列与数据库数据恢复，

可先免费检测评估，明确可恢复范围后再决定处理方案。