2026 Q1 企业勒索事件观察: 攻击面和应急响应经验

三个脱敏案例：Q1 真实勒索现场

开年三个月，我们接到的勒索求助比去年下半年多了将近四成。大部分企业的 IT 负责人第一反应是”我们防火墙很贵”，但现场一看，问题往往出在最薄弱的那块木板。 **案例一：顺义某精密制造企业**，年前刚上了一套 MES 系统。攻击者通过该系统的默认 Tomcat 弱口令（admin/admin123）进入内网，用三天时间摸清网络架构，周五下班前触发勒索。这个企业有意思的是，他们的外网防火墙策略其实很严格，但 MES 系统的管理后台直接暴露在办公网段，没有任何二次认证。加密发生时，工程师还在通宵赶订单。 **案例二：海淀某软件公司**，规模不大但代码资产敏感。感染路径是市场部同事点了一封伪装成客户询价的钓鱼邮件，附件是带宏的 Excel。宏代码下载了 Cobalt Strike，攻击者花了两周时间做内网侦察，等到三月中旬才动手——选择这个时间点是因为清明前财务刚打完款，账上有钱。这家公司后来复盘发现，域控管理员密码居然和 user 域管理员密码完全一致。 **案例三：东城某医疗机构**，数据库被勒索当晚，整个挂号系统瘫痪。初始入口是放射科的某台老旧工作站，常年不关机也不打补丁，刚好挂着 VNC 服务的 5900 端口。这个科室的护士长完全不知道这台电脑连着内网，还以为是独立使用的”读片机”。 这三个案例有个共同点：都不是什么高深攻击，都是已知风险。区别只是有没有人真的去看。

初始入侵路径：你的边界可能比想象中薄

根据我们 Q1 处理的事件统计，初始入侵排名前三的路径是：VPN 弱口令或爆破、钓鱼邮件、以及暴露在互联网的远程管理端口。 VPN 这个入口特别值得多说几句。很多企业买防火墙很舍得花钱，但 VPN 设备往往用的是出厂默认密码，或者 IT 管理员图省事用了个人生日加单位的简单组合。攻击者不需要什么 0day，只要爆破成功，他拿到的是一个”合法”的内网入场券——防火墙日志里一切正常。 钓鱼邮件这块，Q1 出现了一个明显趋势：攻击者越来越擅长做”靶向钓鱼”。不是群发那种一眼假的邮件，而是伪装成老板、甲方、或者系统管理员，用真实的语气问你一个看似合理的问题。我们见过最离谱的一个案例，攻击者通过天眼查查到了目标公司的工商信息，然后注册了一个和官网域名只差一个字母的钓鱼域名，发了一封”年度审计通知”给财务。 至于那些挂着 RDP 3389 或者 VNC 5900 直接暴露在公网的老系统，我只能说你永远不知道哪个端口会成为噩梦的起点。医疗和制造业尤其严重，因为这些行业的设备更新周期长，很多关键工控设备还在跑着十年前签的维护合同，系统商早就倒闭了。 横向扩散这块，现在主流勒索团伙的玩法已经不是”进来就加密”，而是先在内网潜伏几天到几周。手法通常是先抓本机密码，然后尝试 Pass-the-Hash 横向移动到域控。如果域管密码被拿到，基本上整个 AD 就是透明的——用户、机器、策略全部沦陷。我们 Q1 遇到的两个案例，攻击者拿到域管权限后第一件事不是加密，而是把 DHCP 服务器的配置拉走，先搞清楚内网有哪些网段、哪些业务在跑，然后才开始动手。

应急响应 SOP：六小时黄金窗口

勒索攻击从加密完成到蔓延，通常有一个时间窗口。这个窗口可能是两小时，也可能是两整天——取决于企业网络架构的隔离程度和勒索家族的策略。理想情况下，你应该在这段时间内完成网络隔离。 我们的应急 SOP 大致分四个阶段，每个阶段有明确的时间预期和检查清单： 这里有几个坑特别想提一下。有企业客户一发现勒索，第一反应是赶紧付赎金解密。我们见过最夸张的一个，从发现到付款不到四小时，结果解密出来的数据有 30% 是损坏的，而且攻击者留了后门，一个月后又来了一次。还有个坑是”以为隔离了但其实没隔离干净”——有些勒索会扫描内网 445 端口，如果你的交换机 VLAN 没划好，一台机器中了可能整个段都完了。 备份策略这块多说两句。我们 Q1 处理的几个客户，有备份但恢复不了。为啥？因为备份服务器本身就是域成员，而且备份作业用的是域管权限跑的。攻击者进来第一件事就是把备份数据目录删掉，或者加密备份存储。这种”备份在同一个 AD 森林里”的架构其实非常常见，也是最容易被忽视的风险点。真正的离线备份，应该是物理断网或者至少是独立认证体系。 最后聊聊那个老生常谈的问题：要不要上零信任。年初我们帮一家做智能制造的企业部署了 sTrust 零信任方案，核心诉求就是收敛远程接入入口。原来他们有五套不同的 VPN 和远程桌面方案，管理混乱且凭证分散。上了零信任之后，所有远程访问必须经过统一入口和设备认证，原来暴露在公网的 3389、5900 端口全部下线。这家客户后来和我们说，感觉”攻击面小了很多”——这话朴素，但确实是实话。

勒索攻击的本质不是技术对抗，是成本博弈。攻击者会反复测试你的薄弱点，直到找到那个没人管的角落。与其相信”我们不会被盯上”，不如定期跑一次攻击面梳理，把那些被遗忘的旧系统、老账号、开放端口当回事。我们建议企业至少每半年做一次 IT 资产的暴露面审计，详情可以 参考我们的网络整包服务方案。