遭遇勒索软件怎么办：断网、取证与恢复的正确顺序

屏幕突然弹出「文件已加密，支付赎金解锁」——这是企业最不想遇到的一幕。头一小时的应对顺序，直接决定损失大小。

第一时间做对四步

• 立即断网：拔网线、关 Wi-Fi，阻止横向传播——注意是断网，不是关机（内存里的取证信息会丢）；
• 断开备份：移动硬盘、NAS 映射盘立刻下线，防止备份被二次加密，这是最容易犯错的一步；
• 拍照取证：勒索信、加密后缀、弹出时间全部拍照留存，供事后判断病毒家族与恢复可能；
• 求援不付赎：联系专业工程师评估，同时保留现场等处置，付赎金既不保证解密还可能引来二次勒索。

恢复与复盘

重装系统、验证备份完整性、再逐步恢复业务。复盘重点回答三个问题：入口是哪个（钓鱼邮件 / 弱口令 / 漏洞）、为什么没拦住、备份为什么没兜住。

事后补三件事：全员工识钓培训、统一打补丁、备份离线化。勒索软件防的是「下一次」，这三件比任何一款杀毒软件都管用。