勒索软件
概述
勒索软件（Ransomware，랜섬웨어）是一种加密受感染系统中的文件或窃取数据后，以恢复数据、不予公开为条件索要钱财（主要为加密货币）的恶意软件。它起源于1989年的“艾滋病特洛伊木马”，2017年通过“想哭”（WannaCry）在全球造成大规模损失；如今它已不再是单纯的恶意软件，而是演变为“勒索软件即服务”（RaaS）形态的产业化网络犯罪生态。早期主要针对个人用户，近来则以瞄准企业、医院、公共机构和供应链的双重勒索（double extortion）手法为主流。
主要内容
感染途径
最常见的入侵途径包括：钓鱼邮件中的恶意附件与链接、对防护薄弱的远程桌面（RDP）账户实施暴力破解攻击、VPN与防火墙等边界设备的零日漏洞，以及经由供应商实施的软件供应链攻击。近来，滥用合法管理工具或远程监控解决方案以规避检测的案例也在增多。
攻击战术的演变
- 双重勒索：在加密文件之外，还窃取内部数据并同时以公开数据相威胁。
- 三重勒索：威胁将泄露数据扩散至客户与合作伙伴，或预告发动DDoS攻击以施加压力。
- RaaS模式：开发组织将勒索软件作为服务出售，由附属组织（affiliate）实施实际入侵后分配收益。
- 初始访问经纪人：形成了在暗网上交易企业网络访问权限本身的市场。
代表性案例
代表性事件包括：2017年的“想哭”、2019年导致美国多个地方政府瘫痪的攻击、2021年美国SolarWinds供应链事件与科洛尼尔管道（Colonial Pipeline）事件、2022年哥斯达黎加政府机构遭连环攻击，以及2024年韩国国内外大型医院与制造商遭入侵的案例等。尤其是针对医疗机构的攻击直接关系到患者安全，社会影响巨大。
应对与恢复策略
核心原则是“预防、检测、恢复”三个阶段。在预防层面，多因素认证（MFA）、最小权限原则、补丁管理以及尽量减少暴露于互联网的资产十分重要。在检测层面，会运用EDR、XDR、异常行为监控以及针对勒索软件的专用备份监视。在恢复层面，3-2-1-1备份策略（3份副本、2种介质、1份异地、1份离线/不可变存储）与定期恢复演练必不可少。发生事故时，需要隔离网络、保存取证资料、向执法机关及专业机构报案，并依据“支付赎金会招致再次受害”这一原则做出审慎决策。
法律与制度层面的应对
韩国通过《信息通信网法》和《个人信息保护法》规定了侵害事故的报告义务，并运行由科学技术信息通信部与韩国互联网振兴院（KISA）主导的勒索软件应对支援体系。美国以CISA为中心并行推进#StopRansomware运动和指定制裁对象组织，欧盟则通过NIS2指令强化了供应链安全的要求水平。
最新动向
2024至2025年最大的变化是RaaS生态的分化与专业化。随着大型组织因执法打击而瓦解，其成员化整为零、分散重组；为提高攻击成功率，将入侵前阶段自动化的“初始入侵型服务”有所增加。此外，利用生成式AI的定制化钓鱼邮件与语音诈骗（vishing）增多，攻击的精细程度大幅提升。相反，在防御一方，基于AI的异常行为检测、不可变备份（immutable storage）以及零信任架构的引入正在快速普及。在监管层面，各国正在推进将事故报告期限缩短至24至72小时的立法，投保时严格审查安全控制要求的趋势也十分明显。韩国国内也在强化针对主要信息通信基础设施的模拟演练与供应链安全检查义务。
相关主题
- [[恶意软件]]
- [[零日漏洞]]
- [[网络安全]]
- [[钓鱼]]
- [[零信任]]
- [[信息保护法]]