勒索软件中招前十分钟：断网、留证、上报的正确顺序
先说结论：发现文件被加密、桌面弹出勒索提示时，最危险的动作是立刻关机重装，第二危险的是急着把文件拷出来。前十分钟的顺序决定后面能不能止损、能不能追溯、能不能少赔。记住六个字：断网、留证、上报。
福建本地中小企业里，勒索软件最常从三条路进来：钓鱼邮件附件、远程控制弱口令、以及没打补丁的对外服务。真出事时，现场往往一片混乱，有人拔电源、有人插 U 盘拷文件、有人先去网上搜「解密工具」。这些动作每一步都在扩大损失。下面按可照做的顺序写清楚。
一、前十分钟该做什么（按顺序，不要跳步）
| 顺序 | 动作 | 为什么是这个顺序 | 做完怎么确认 |
|---|---|---|---|
| 1 | 断网：拔网线 / 关 Wi-Fi，不关电源 | 阻止横向扩散与继续回连，同时保留内存里的证据 | 网络图标显示已断开；其他机器开始排查 |
| 2 | 别重启、别关机：保持当前开机状态 | 内存里可能有加密进程、密钥痕迹、连接信息，一断电就没了 | 屏幕保持原状，不去点弹窗 |
| 3 | 拍照留证：勒索提示、被加密文件后缀、异常进程、时间 | 后续上报、保险、公安与复盘都要用 | 手机拍全屏，含时间与后缀名 |
| 4 | 隔离同网段机器：其他电脑也断网，检查共享盘 | 勒索软件会扫共享目录与内网 | 共享盘先取消映射，NAS 断开 |
| 5 | 上报：通知 IT/负责人，按单位预案启动 | 越早越能保住备份与其他机器 | 记录上报时间与接报人 |
| 6 | 停用可疑账号与远控：改密码、停远程入口 | 很多入侵是从弱口令远控进来的 | 远控服务停用并留日志 |
注意：不要点勒索提示里的链接，不要按对方要求「先付一点看能不能解」，不要在中毒机上插 U 盘「抢救文件」——U 盘会被一起加密，还可能把病毒带到下一台机器。
二、接下来一小时：判断范围与保住备份
- 盘点受影响范围：哪些机器、哪些共享目录、哪些业务系统读不到文件了。列一张清单，写明发现时间。
- 确认备份状态：备份机/离线介质是否也被加密。云盘若开着实时同步，被加密的文件可能已经同步上去，要立刻查版本历史并暂停同步。
- 不要急着格式化重装：先把被加密样本、勒索提示、日志留下来。有条件的话对系统盘做镜像再动。
- 查入口：钓鱼邮件、远控登录记录、对外服务补丁情况，三处先各查一遍，判断是不是还在持续进入。
三、福建企业能照做的三件事（平时做，不是出事才做）
| 事项 | 最低要求 | 常见疏漏 |
|---|---|---|
| 3-2-1 备份 | 3 份副本、2 种介质、1 份离线 | 备份机一直连着网，跟着一起被加密 |
| 远控收敛 | 关掉闲置远控、加二次验证、留访问日志 | 私人远控工具无人登记、设备号长期不变 |
| 补丁与权限 | 对外服务及时打补丁、普通用户不给管理员 | 全员本地管理员、共享盘 Everyone 可写 |
恢复演练比备份本身更重要：至少每季度做一次「从备份恢复一个真实业务目录」的演练，确认备份真的能读、能还原。很多单位备份一直显示成功，真出事才发现从没验证过可恢复性。
四、三个坑
- 以为付了就能拿回数据：没有保证，且可能带来二次勒索与合规风险。先把证据和上报流程走完。
- 只清理中毒机，不查入口：入口没堵住，重装完当天可能再中一次。
- 事后不留痕、不复盘：等保与内部管理都要求可追溯，谁发现、几点断网、哪台上报、处置了什么，都要有记录。
五、什么时候别自己处理
- 涉及客户资料、生产系统、财务数据，或影响范围超过一台机器 → 直接按单位应急预案上报，别在现场试各种工具。
- 出现疑似数据外泄（勒索页面提到已窃取数据）→ 同步按数据泄露事件处理，涉及合规义务。
- 没有可用备份、业务又必须恢复 → 交专业处置，避免反复写入破坏残留证据。
一句话收尾：断网保现场、拍照留证据、上报走预案，顺序比速度重要。 平时把离线备份和远控收敛做扎实，才是不用走到这一步的根本办法。
本文按常见应急处置口径整理，具体流程以单位应急预案与等保要求为准；涉及敏感信息的操作须留痕。福建IT网 · 福建本地 IT 实战，能照着做的那种。