别慌，这些实操步骤能帮你减少损失

xubin

　　先断网锁死病毒的扩散路径

　　上周帮开小公司的朋友处理过一起Wanna勒索病毒事件，当时他们连病毒是什么都没搞清楚，第一时间没断网，结果整个服务器加20多台办公电脑全被加密，最后花了3天才止住扩散。遇到加密后第一反应必须是断网：拔掉总服务器的网线，关闭所有办公电脑的WiFi，关掉共享文件夹权限，千万别点任何弹窗或陌生链接——哪怕弹窗写着“支付赎金即可解密”，点了只会加速加密范围扩大。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　确认加密类型别踩“解密”坑

　　别一看到文件变后缀就急着找工具，先确认是Wanna还是Lockbit加密：Wanna加密后文件后缀多是.wncry，Lockbit是.lockbit，桌面还会出现勒索信（比如Readme_Recovery.txt）。之前有个开网店的个体户，误点了带病毒的快递邮件附件，Lockbit加密后他直接搜了网上的“免费解密工具”，结果点进去又中了木马，数据没恢复还多了新麻烦，千万别乱点陌生工具。

　　找合规机构别私下付赎金

　　很多人第一想法是找黑客解密或直接付赎金，这绝对是坑。去年我认识的一个工厂老板，听同行说找黑客能搞定，先转了5万定金，结果对方直接失联，后来找了本地网信办推荐的网络安全公司，花2万就恢复了80%的核心生产数据。一定要找有资质的安全服务商或网信办推荐的机构，私下付赎金要么拿不到解密工具，要么付了钱还是解不开。

　　用离线备份优先恢复核心数据

　　备份是应对勒索病毒的最后底气，但很多人用的在线备份（比如网盘）容易被病毒感染，之前有个科技公司用阿里云的备份，结果服务器加密后备份也被感染，还好有个每周同步一次的外接移动硬盘（没联网），那次恢复了所有项目数据的90%。平时一定要做离线备份，存在不联网的设备里，别把宝全压在云备份上。

　　补漏洞防二次中招

　　Wanna和Lockbit都是靠系统漏洞或钓鱼邮件进来的，之前某电商公司没更微软的高危补丁，员工点了带病毒的简历附件，直接中招Lockbit，损失了近10万。后来他们每周开10分钟的安全小会，教员工识别钓鱼邮件，还关了没用的3389远程端口，之后半年都没再出问题。定期补系统补丁、培训员工识别风险，比事后补救更重要。