文 | 華北電力大學 李建彬 李智勇 劉雨杉

近年來，勒索軟件攻擊日益全球化，許多國家的政府、金融、教育、醫(yī)療、制造、交通、能源等均受到影響。勒索軟件攻擊的重點逐步轉(zhuǎn)向關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)字資產(chǎn)等核心要素，給國家安全、企業(yè)權(quán)益、個人隱私等帶來極大的威脅。同時，人工智能和網(wǎng)絡(luò)攻防技術(shù)的發(fā)展為勒索軟件攻擊融入了新元素，使得勒索軟件攻擊更加高速化、規(guī)模化、智能化和多樣化。

一、勒索軟件原理與分類

勒索軟件是一種惡意軟件或網(wǎng)絡(luò)釣魚攻擊軟件，通過加密用戶文件的方式使用戶文件無法正常使用，并以此為條件向用戶勒索錢財。通過對勒索軟件原理的介紹，從傳播途徑、實現(xiàn)方式、目標等方面對勒索軟件進行分類，可以較為清晰地掌握勒索軟件的攻擊途徑及實現(xiàn)方法。

（一）勒索軟件原理勒索軟件的主要原理是攻擊用戶的計算機或設(shè)備，獲取相關(guān)權(quán)限，采用加密算法加密用戶文件，以阻止用戶訪問這些文件。用戶一旦感染，就無法正常打開和使用這些文件，同時，病毒會在屏幕上顯示警告信息，要求用戶支付贖金以解鎖文件。

傳播方式。勒索軟件的傳播方式包括網(wǎng)頁木馬傳播、與其他惡意軟件捆綁發(fā)布、電子郵件附件傳播以及借助可移動存儲介質(zhì)傳播等。

表現(xiàn)形式。用戶遭到勒索軟件攻擊后，通常會有如下表現(xiàn)形式：計算機或移動終端屏幕被鎖定，令用戶感到恐慌，屏幕彈出支付贖金的提示消息等。

勒索模式。通過影響系統(tǒng)正常使用迫使用戶付款，恐嚇用戶誘騙其付款，或綁架用戶數(shù)據(jù)迫使用戶付款。

工作流程。一是嘗試，利用網(wǎng)絡(luò)漏洞攻擊目標；二是傳播，攻擊者在網(wǎng)絡(luò)內(nèi)部署惡意軟件，進行橫向傳播；三是掃描，識別要加密的文件并竊取重要數(shù)據(jù)；四是潛伏，若未發(fā)現(xiàn)重要數(shù)據(jù)，則進入靜默狀態(tài)；五是加密，啟動加密過程，包括本地數(shù)據(jù)和備份數(shù)據(jù)；六是勒索，向用戶的設(shè)備發(fā)送警告信息，說明支付贖金的金額和細節(jié)。

（二）勒索軟件分類勒索軟件不僅通過加密文件或鎖定系統(tǒng)來威脅用戶，還利用社會工程學手段，如偽造執(zhí)法機構(gòu)身份或聲稱檢測到惡意軟件來恐嚇用戶支付贖金。根據(jù)勒索軟件對用戶系統(tǒng)設(shè)備采取的措施，可分為以下四類。

一是加密數(shù)據(jù)勒索。這類勒索軟件通過加密用戶的重要文件和數(shù)據(jù)，如文檔、圖片、視頻等，要求用戶支付贖金以獲取解密密鑰。加密數(shù)據(jù)勒索的傳播方式、表現(xiàn)形式以及勒索模式與典型勒索軟件一致，其工作流程也是常見的六個步驟。WannaCry、CryptoLocker 等屬于此類勒索軟件。

二是鎖定系統(tǒng)勒索。與加密數(shù)據(jù)勒索不同，這類勒索軟件不加密用戶的文件，而是通過修改系統(tǒng)配置或文件，使得用戶無法正常使用設(shè)備，從而迫使用戶支付贖金以解鎖系統(tǒng)。鎖定系統(tǒng)勒索在傳播方式和表現(xiàn)形式方面與典型的勒索軟件一致，但在勒索方式和工作流程方面具有獨特性，NotPetya 就是一種典型的鎖定用戶設(shè)備的勒索軟件。

三是威脅恐嚇勒索。這類勒索軟件通常偽裝成防病毒軟件或執(zhí)法機構(gòu)，謊稱在用戶的系統(tǒng)中發(fā)現(xiàn)病毒或違法活動，誘騙用戶支付所謂罰款或解密費用。威脅恐嚇勒索雖然具備部分詐騙軟件的特征，但在傳播方式、表現(xiàn)形式以及勒索模式上仍屬于勒索軟件的范疇，FakeAV 和 Reveton 等軟件即通過恐嚇用戶實施勒索。

四是數(shù)據(jù)泄漏勒索。這是一類變種的勒索軟件，它通過威脅用戶“泄漏敏感信息”來迫使用戶支付贖金，以防止損害進一步擴大。從傳播方式、表現(xiàn)形式、勒索模式以及工作流程等方面來看，它都具有典型的勒索軟件特征。該類型的勒索軟件主要通過獲取用戶敏感數(shù)據(jù)而不是加密用戶數(shù)據(jù)來進行威脅，以獲取經(jīng)濟利益。

二、勒索軟件攻擊事件及原因分析

在講述了勒索軟件的原理和分類的基礎(chǔ)上，需要了解勒索軟件攻擊的歷史與發(fā)展以及當前的攻擊現(xiàn)狀。通過分析勒索軟件攻擊的快速發(fā)展、強大破壞力和巨大危害性，進一步探討勒索軟件攻擊產(chǎn)生及泛濫的因素。

（一）勒索軟件攻擊歷史與發(fā)展

1. 勒索軟件攻擊起源較早，功能相對單一1989 年，首個知名的勒索軟件 AIDSTrojan 誕生。這種病毒在感染主機后，會加密電腦中的文件，只有擁有相應(yīng)的密鑰才能解密，其功能相對簡單，攻擊目標也較為單一。2005 年，首個現(xiàn)代勒索軟件 GPCoder 誕生，該軟件攻擊 Windows 系統(tǒng)，并使用對稱加密算法對用戶文件進行加密。

2. 勒索軟件攻擊席卷全球，首次引發(fā)世界關(guān)注WannaCry 勒索軟件攻擊席卷全球，至少 150 個國家和地區(qū)近 30 萬用戶，超過 10 萬臺電腦遭到了勒索軟件攻擊，影響金融、能源、醫(yī)療、教育等眾多行業(yè)。自此，勒索軟件攻擊引發(fā)全球關(guān)注。

3. 勒索軟件攻擊面向關(guān)鍵信息基礎(chǔ)設(shè)施，具有較強破壞力NotPetya 被用于發(fā)動針對烏克蘭信息基礎(chǔ)設(shè)施的攻擊，烏克蘭多家醫(yī)院、電力公司、機場以及銀行受到重創(chuàng)。該勒索軟件迅速席卷歐美等 60 多個國家和地區(qū)的港口、工廠等設(shè)施，給全球經(jīng)濟造成超過 100 億美元的損失。

4. 勒索軟件攻擊方式多樣化，變種更新速度快GandGrab 采用弱口令爆破、釣魚郵件、網(wǎng)頁掛馬、水坑等多種攻擊方式，在 1 年時間內(nèi)更新了 5 個大版本和數(shù)個小版本，波及數(shù)十個國家和地區(qū)，全球累計超過 150 萬用戶受到感染，黑產(chǎn)利潤累計高達 20 億美元。

5. 勒索軟件攻擊重點突出，為數(shù)據(jù)安全防護敲響警鐘在數(shù)字時代，勒索軟件的威脅愈加普遍，給個人和組織帶來了巨大的數(shù)據(jù)安全風險。隨著技術(shù)的發(fā)展，勒索軟件的攻擊方式也在不斷演變，攻擊者不僅加密文件，還可能通過識別和竊取系統(tǒng)中的關(guān)鍵數(shù)據(jù)，以公開這些數(shù)據(jù)為威脅，要求組織支付贖金，這種模式被稱為“雙重勒索”。

6. 勒索軟件攻擊危害嚴重，已威脅到國家安全通過 Conti 無差別攻擊，哥斯達黎加國家財政部數(shù)以 TB 計的數(shù)據(jù)和 800 多臺服務(wù)器受到影響，數(shù)字稅務(wù)服務(wù)和海關(guān)控制 IT 系統(tǒng)癱瘓，不僅影響了政府服務(wù)，也波及了從事進出口的私營部門。另一波與 HIVE 相關(guān)的攻擊直接影響了該國的普通民眾，使該國醫(yī)療保健系統(tǒng)非正常下線。

（二）勒索軟件攻擊產(chǎn)生及泛濫的因素

1. 經(jīng)濟利益驅(qū)動是勒索軟件攻擊泛濫的首要因素

對于攻擊者而言，發(fā)起攻擊的主要原因是獲取暴利，實現(xiàn)自身利益最大化，攻擊者往往選擇成本低、傳播范圍廣的攻擊方式，勒索軟件攻擊正是符合此類特征，其核心目標是通過加密受害者的文件或竊取數(shù)據(jù)并要求支付贖金來獲取經(jīng)濟利益。

2. 全球網(wǎng)絡(luò)環(huán)境的變化為勒索軟件快速傳播創(chuàng)造了條件

隨著網(wǎng)絡(luò)的互聯(lián)互通性增強，以及互聯(lián)網(wǎng)逐步向工業(yè)控制網(wǎng)絡(luò)和物聯(lián)網(wǎng)的擴展，勒索病毒的傳播速度和范圍都有所增加，這使得包括政府機構(gòu)、企業(yè)、學校以及個人的多個領(lǐng)域的用戶都可能成為潛在的受害者。勒索軟件攻擊事件最初在美國出現(xiàn)，隨后在俄羅斯大規(guī)模爆發(fā)，并最終波及全球。

3. 網(wǎng)攻技術(shù)快速發(fā)展使得勒索軟件攻擊呈現(xiàn)低成本高回報態(tài)勢

隨著互聯(lián)網(wǎng)的發(fā)展，計算機設(shè)備在日常工作和生活中的普及，為勒索軟件的出現(xiàn)提供了可能。勒索軟件的多樣化和易用性也是導(dǎo)致攻擊頻發(fā)的原因之一，勒索軟件的制造者提供相關(guān)技術(shù)和實施教程，甚至通過可視化軟件監(jiān)控攻擊狀態(tài)，使得攻擊者能夠通過訂閱模式盈利，大大降低了攻擊門檻。

4. 安全意識不足、技術(shù)漏洞為勒索軟件攻擊提供了便利

網(wǎng)絡(luò)自身的復(fù)雜性和互聯(lián)互通性使得很多人在使用計算機設(shè)備聯(lián)網(wǎng)時，往往忽視了網(wǎng)絡(luò)安全問題，從而為勒索軟件攻擊提供了機會。安全意識不足是造成勒索軟件攻擊頻發(fā)的重要原因，計算機設(shè)備安全防護策略設(shè)置不嚴格，訪問非法網(wǎng)絡(luò)資源，下載或點擊不明來源的軟件及鏈接以及打開來歷不明的郵件及附件等。技術(shù)漏洞也為勒索軟件攻擊提供了便利條件，包括防護軟硬件漏洞、操作系統(tǒng)漏洞、數(shù)據(jù)庫漏洞、應(yīng)用軟件漏洞、辦公軟件漏洞等。


5. 攻擊方式靈活多樣給防范勒索軟件帶來較大困難

攻擊對象廣泛，不僅限于個人用戶，還包括企業(yè)和公共管理部門。勒索軟件傳播的方式繁多，可以通過釣魚郵件、網(wǎng)頁掛馬、入侵服務(wù)器、利用系統(tǒng)漏洞、共享網(wǎng)絡(luò)文件及移動存儲設(shè)備等途徑傳播。攻擊技術(shù)產(chǎn)業(yè)化，勒索軟件的開發(fā)與銷售團體運作模式大大提升了其產(chǎn)業(yè)化程度。

6. 法律監(jiān)管措施不到位對勒索軟件攻擊難以有效制裁

法律監(jiān)管不到位也是勒索軟件攻擊頻發(fā)的重要原因，雖然各國政府都在努力打擊這類網(wǎng)絡(luò)犯罪，但由于其匿名性、跨國性及技術(shù)復(fù)雜性，很多法律條款難以對其進行有效約束和制裁，即使受害者向攻擊者支付了贖金，也無法保證能正常使用系統(tǒng)或還原被加密的文件。

7. 軟件即服務(wù)的模式降低了勒索軟件攻擊難度和門檻



黑客組織像商業(yè)企業(yè)一樣運營，將他們的黑客工具出售或出租給他人，并提供一系列支持服務(wù)。勒索軟件即服務(wù)（RaaS）是指開發(fā)者編寫惡意軟件后，提供給代理分發(fā)者，擴散感染再抽成的獲利模式。低門檻高收益的獲利模式推動黑色產(chǎn)業(yè)鏈日趨成熟，勒索軟件層出不窮。

三、勒索軟件攻擊與網(wǎng)絡(luò)犯罪

網(wǎng)絡(luò)犯罪是指利用互聯(lián)網(wǎng)進行的犯罪活動，其核心特性是對網(wǎng)絡(luò)及其信息安全和秩序造成威脅。勒索軟件攻擊已經(jīng)具備了網(wǎng)絡(luò)犯罪的特征、創(chuàng)新了網(wǎng)絡(luò)犯罪的模式、促進了網(wǎng)絡(luò)犯罪率的提升，同時也給犯罪行為取證帶來困難。

（一）勒索軟件攻擊具有明顯的網(wǎng)絡(luò)犯罪特征

網(wǎng)絡(luò)犯罪具體包括三個方面內(nèi)容：一是行為人運用編程、加密、解碼技術(shù)或工具在網(wǎng)絡(luò)上實施的犯罪，通過編寫程序、密碼學和反向工程來實現(xiàn)的在線犯罪活動；二是行為人在線上線下結(jié)合使用軟件命令、網(wǎng)絡(luò)架構(gòu)或者產(chǎn)品加密等方式實施的犯罪；三是行為人借助網(wǎng)絡(luò)服務(wù)的管理權(quán)限或是其他手段在網(wǎng)絡(luò)環(huán)境中執(zhí)行的犯罪行為。勒索軟件攻擊從原理、技術(shù)、實現(xiàn)方法以及產(chǎn)生結(jié)果等方面均具備明顯的網(wǎng)絡(luò)犯罪特征。

（二）勒索軟件攻擊衍生網(wǎng)絡(luò)犯罪新模式

勒索軟件攻擊不同于通常的網(wǎng)絡(luò)犯罪手段和模式，其目的在于竊取或破壞用戶數(shù)據(jù)并獲取利益；采用高級偽裝技術(shù)，偽裝成其他的合法軟件，讓受害者難以發(fā)現(xiàn)和防護；采用生成式人工智能技術(shù)，帶來新的安全風險；攻擊手段產(chǎn)業(yè)化，將勒索軟件轉(zhuǎn)化為在線服務(wù)，大幅降低了攻擊難度。

（三）勒索軟件攻擊促使網(wǎng)絡(luò)犯罪率提升

近年來，網(wǎng)絡(luò)犯罪行業(yè)日趨成熟，勒索軟件組織逐步形成產(chǎn)業(yè)化，構(gòu)建了勒索軟件的生態(tài)環(huán)境，雙重或多重勒索攻擊已成為常態(tài)。制造業(yè)、商業(yè)服務(wù)、教育行業(yè)以及非營利組織成為勒索軟件攻擊的重災(zāi)區(qū)?！?/span>2024 年全球威脅情報報告》顯示，勒索軟件和勒索事件在 2023 年激增了 67%，受勒索軟件影響最大的行業(yè)分別是制造業(yè)、零售批發(fā)和醫(yī)療保健行業(yè)。

（四）勒索軟件攻擊的網(wǎng)絡(luò)犯罪行為取證困難

勒索軟件攻擊往往是跨國犯罪，攻擊者可能位于不同的國家和地區(qū)，增加了執(zhí)法的難度。不同國家的法律和執(zhí)法力度不同，使得跨國合作打擊勒索軟件攻擊變得復(fù)雜。勒索軟件攻擊通常使用高級的隱匿技術(shù)，使得取證變得困難，即使能夠追蹤到攻擊者，收集足夠的證據(jù)進行起訴也是一大挑戰(zhàn)。執(zhí)法部門在追蹤和扣押用于不法目的的加密貨幣方面面臨重大障礙。

四、勒索軟件攻擊演變趨勢

自勒索軟件攻擊產(chǎn)生以來，歷經(jīng)多年的演變與發(fā)展，已呈現(xiàn)出顯著的特征和趨勢。

一是攻擊范圍全球化。1989 年，首個知名的勒索軟件在美國產(chǎn)生，到 2017 年，WannaCry 勒索軟件攻擊席卷全球，波及 150 余個國家，覆蓋金融、能源、教育、醫(yī)療、航空等多個領(lǐng)域。

二是攻擊層次國家化。勒索軟件攻擊對國家安全的影響是深遠的，涉及國民經(jīng)濟、數(shù)據(jù)要素、關(guān)鍵信息基礎(chǔ)設(shè)施等多個方面。勒索軟件攻擊不僅給企業(yè)和組織帶來經(jīng)濟損失，更重要的是，會威脅到國家關(guān)鍵信息基礎(chǔ)設(shè)施的安全，這已經(jīng)上升到國家安全層面。

三是攻擊增長高速化。近年來，勒索軟件攻擊事件一直保持高速增長，大規(guī)模勒索軟件攻擊正在瞄準各個行業(yè)，醫(yī)療保健、政府和關(guān)鍵信息基礎(chǔ)設(shè)施成為重點目標。同時，勒索軟件攻擊的手段、方式和技術(shù)在不斷變化，這是勒索軟件攻擊事件頻發(fā)的主要原因。

四是攻擊方式規(guī)模化。勒索軟件攻擊已成為網(wǎng)絡(luò)安全領(lǐng)域的重大挑戰(zhàn)，不僅攻擊規(guī)模不斷擴大，而且攻擊手段和技術(shù)也在不斷演變，以適應(yīng)網(wǎng)絡(luò)安全領(lǐng)域的對抗性環(huán)境。到 2024 年上半年，全球勒索軟件數(shù)量上升到近 2000 個，遭受過勒索軟件攻擊的組織近 5000 個，發(fā)生的勒索軟件攻擊事件的數(shù)量更是數(shù)以萬計。

五是攻擊技術(shù)智能化。隨著人工智能和機器學習技術(shù)的不斷完善，ChatGPT 等眾多生成式人工智能服務(wù)的興起，攻擊者利用這些創(chuàng)新技術(shù)提高勒索軟件攻擊的能力和效率，使得傳統(tǒng)防御機制更難檢測和預(yù)防這類攻擊。

六是攻擊手段多樣化。勒索軟件攻擊手段從數(shù)據(jù)加密和泄漏逐步轉(zhuǎn)向數(shù)據(jù)刪除，攻擊者采用了多樣的勒索手法，包括雙重勒索和三重勒索，通過加密數(shù)據(jù)勒索贖金，或威脅泄露數(shù)據(jù)向受害者施壓。同時，將數(shù)據(jù)刪除作為簡單有效的方法，不需要進行復(fù)雜的加密處理，也不需要受害者通過支付贖金換取解密代碼來挽回損失。

七是攻擊服務(wù)產(chǎn)業(yè)化。隨著首個勒索軟件即服務(wù) Reveton 的推出，勒索軟件生態(tài)系統(tǒng)隨之形成，包括開發(fā)人員、關(guān)聯(lián)公司和訪問代理。開發(fā)人員編寫復(fù)雜的勒索軟件變體并定期提供更新以確保其有效性，關(guān)聯(lián)公司則將網(wǎng)絡(luò)釣魚、電子郵件、漏洞利用工具包以及受感染網(wǎng)站分發(fā)給攻擊者，訪問代理則出售受感染網(wǎng)絡(luò)的訪問權(quán)限。通過上述流程，形成了勒索軟件攻擊服務(wù)的產(chǎn)業(yè)鏈，攻擊者不需具備高水平的技術(shù)能力，依然可以有效運用勒索軟件進行攻擊。

八是攻擊對象重點化。在勒索軟件攻擊中，個人用戶的數(shù)據(jù)主要是私人信息，而企業(yè)和政府機關(guān)的數(shù)據(jù)則涉及商業(yè)秘密和重要文件。因此，對于后者來說，這些數(shù)據(jù)的價值更高，他們更愿意支付贖金以恢復(fù)數(shù)據(jù)。同時，相較于個人，企業(yè)和政府通常擁有更多的財務(wù)資源來支付贖金，這使得針對企業(yè)和政府的勒索攻擊可能帶來更高的收益。

五、勒索軟件攻擊治理與合作

勒索軟件攻擊的危害性較大，具有跨國性和匿名性的特點。有效防范勒索軟件攻擊、依法懲治相關(guān)犯罪勢在必行，需要從強化國家網(wǎng)絡(luò)空間防御能力、完善網(wǎng)絡(luò)安全防護水平、推進反網(wǎng)絡(luò)犯罪立法進程以及提升安全事件應(yīng)急響應(yīng)能力等方面入手。同時，要加強勒索軟件攻擊治理的組織間合作與國際合作，實現(xiàn)聯(lián)防聯(lián)治。

（一）勒索軟件攻擊治理內(nèi)容

1. 強化國家網(wǎng)絡(luò)空間防御能力，有效防范勒索軟件攻擊

勒索軟件攻擊具有匿名性和跨國性，這使其成為復(fù)雜的全球性問題。近年來，我國遭受來自境外的勒索軟件攻擊事件頻發(fā)，攻擊者破壞關(guān)鍵信息基礎(chǔ)設(shè)施、竊取涉密信息和敏感數(shù)據(jù)，嚴重威脅到國家安全、企業(yè)權(quán)益以及個人隱私。需要以總體國家安全觀為指引，在網(wǎng)絡(luò)安全和數(shù)據(jù)安全方面做好戰(zhàn)略布局、完善頂層設(shè)計，有效防范勒索軟件攻擊。

2.推進反勒索軟件攻擊立法進程，逐步完善懲治網(wǎng)絡(luò)犯罪的依據(jù)

我國的《刑法》《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》以及《個人信息保護法》等法律法規(guī)均在不同程度定義了網(wǎng)絡(luò)犯罪的行為特征和懲戒方式，但針對勒索軟件攻擊特點歸入哪一類別的網(wǎng)絡(luò)犯罪、如何定罪及進行溯源取證等尚無準確的法律依據(jù)。需要通過實踐積極推進針對勒索軟件攻擊的立法進程，以增強對采用勒索軟件攻擊的個人和組織的震懾力。

3. 加大反勒索軟件攻擊宣傳教育力度，全面增強網(wǎng)絡(luò)安全意識

近年來，勒索軟件攻擊席卷全球，強勢爆發(fā)，各個國家和地區(qū)均遭受不同程度的危害。雖然外部形勢非常嚴峻，但部分組織和人員對勒索軟件的原理和危害性并不了解，防范意識不強，缺乏基本的防護能力和應(yīng)急處置能力。因此，需要從全民角度開展安全意識教育培訓，通過案例講解起到警示教育的作用。

4. 構(gòu)建完善的網(wǎng)絡(luò)安全防護體系，全面遏制勒索軟件攻擊的發(fā)生

勒索軟件攻擊往往通過偽裝或滲透的方式，利用網(wǎng)絡(luò)和系統(tǒng)漏洞進入目標主機，竊取數(shù)據(jù)、加密文件、進行威脅和恐嚇等。需要從網(wǎng)絡(luò)安全防御體系的角度考慮如何遏制勒索軟件攻擊的發(fā)生，包括安全管理、安全技術(shù)以及安全運營等層面。除傳統(tǒng)網(wǎng)絡(luò)安全防護外，還應(yīng)重點考慮數(shù)據(jù)安全保護和供應(yīng)鏈安全。

5. 加強技術(shù)研發(fā)和創(chuàng)新能力，堵塞安全漏洞，提高防護水平

勒索軟件攻擊已逐步實現(xiàn)智能化、自動化和產(chǎn)業(yè)化，攻擊手段融入了更多的創(chuàng)新技術(shù)，執(zhí)行效率和速度較高，常規(guī)的防護措施難以有效抵御這類攻擊。因此，需要在網(wǎng)絡(luò)安全、數(shù)據(jù)安全、工控安全和物聯(lián)網(wǎng)安全等方面加強技術(shù)研發(fā)和創(chuàng)新能力，實現(xiàn)自主可控，堵塞安全漏洞，提高安全防護水平。

6. 提升安全事件應(yīng)急響應(yīng)能力，抵御勒索軟件攻擊帶來的安全風險

勒索軟件攻擊通常鎖定主機、加密文件以及竊取數(shù)據(jù)進行威脅。針對此類攻擊行為，應(yīng)具備較強的應(yīng)急響應(yīng)能力。首先，應(yīng)制定針對勒索軟件攻擊的專項應(yīng)急預(yù)案；其次，將應(yīng)急處置定義為三個階段，包括預(yù)防階段（備份數(shù)據(jù)、升級軟件、掃描、監(jiān)測等）、處置階段（斷網(wǎng)隔離、確認感染范圍、通報、取證溯源）和恢復(fù)階段（數(shù)據(jù)還原、安全增強、總結(jié)分析、外部合作）。


（二）勒索軟件攻擊治理合作


勒索軟件攻擊席卷全球，且呈現(xiàn)上升趨勢，多個國家的關(guān)鍵信息基礎(chǔ)設(shè)施和政府實體遭受勒索軟件攻擊，有的國家甚至被迫宣布進入緊急狀態(tài)。這些安全事件凸顯了勒索軟件攻擊的嚴重性，也進一步增強了共同應(yīng)對這一威脅的必要性。

1. 勒索軟件攻擊的聯(lián)防聯(lián)治

在我國數(shù)字經(jīng)濟蓬勃發(fā)展的背景下，企業(yè)正積極進行數(shù)字化轉(zhuǎn)型。然而，各部門和單位在網(wǎng)絡(luò)安全防護和數(shù)據(jù)安全保護方面的表現(xiàn)不一，大量設(shè)備接入互聯(lián)網(wǎng)，導(dǎo)致企業(yè)在全方位的業(yè)務(wù)應(yīng)用中存在嚴重的安全風險。基于上述的安全現(xiàn)狀，在開展勒索軟件攻擊治理時，應(yīng)秉承聯(lián)防聯(lián)治的思路，由職能管理機構(gòu)組織和監(jiān)督，網(wǎng)絡(luò)安全和數(shù)據(jù)安全專業(yè)機構(gòu)提供技術(shù)支撐，各業(yè)務(wù)部門加強安全意識、提高防護能力，實現(xiàn)統(tǒng)一協(xié)同、聯(lián)防聯(lián)治的目標。


2. 勒索軟件攻擊的跨國治理

防范勒索軟件攻擊面臨的主要問題是其跨國性，攻擊者往往利用加密貨幣等手段跨境轉(zhuǎn)移資金，使得追蹤和定罪變得極為困難。因此，國際社會需要加強合作，共同打擊跨國網(wǎng)絡(luò)犯罪。勒索軟件攻擊的跨國治理主要從三個方面開展工作：一是建立聯(lián)合研究機構(gòu)，進行技術(shù)研發(fā)，實現(xiàn)成果共享；二是建立互信互認機制，對勒索軟件攻擊形式的網(wǎng)絡(luò)犯罪，從取證到定罪保持法律一致性；三是建立溝通協(xié)調(diào)機制，針對勒索軟件攻擊的網(wǎng)絡(luò)追蹤和溯源，形成良好的溝通協(xié)調(diào)機制，實現(xiàn)信息共享利用。

六、結(jié) 語

勒索軟件攻擊已出現(xiàn)多年，自 2017 年大規(guī)模爆發(fā)并席卷全球，其發(fā)展態(tài)勢呈爆炸性增長，以獲取經(jīng)濟利益為首要目標，逐步向規(guī)模化、多樣化、智能化、產(chǎn)業(yè)化發(fā)展，嚴重威脅到國家安全、組織利益和個人隱私，給關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)字資產(chǎn)等帶來較大的安全風險，更可能影響經(jīng)濟發(fā)展。為有效防范勒索軟件攻擊，懲治網(wǎng)絡(luò)犯罪，降低勒索軟件攻擊帶來的安全風險，需要從總體國家安全觀出發(fā)，完善頂層設(shè)計、加強立法合規(guī)、融入技術(shù)創(chuàng)新、提高防護能力、加強數(shù)據(jù)保護、增強安全意識、提升應(yīng)急能力等。同時，需開展針對勒索軟件攻擊的多部門、多行業(yè)聯(lián)防聯(lián)治，開拓國際合作治理的渠道，建立打擊勒索軟件攻擊犯罪的跨國合作機制。

（本文刊登于《中國信息安全》雜志2024年第8期）