What is double extortion ransomware?

Double extortion is when attackers steal sensitive data before encrypting files, then demand payment to prevent the data from being published or sold. The theft itself becomes the leverage, even if the victim can restore systems from backups.

Why don't backups protect against double extortion?

Backups solve the availability problem by restoring encrypted systems, but they do nothing to stop attackers from publishing stolen files. Since the ransom demand is about preventing a data leak, restoring from backup doesn't remove the pressure to pay.

What kinds of data do double extortion attackers steal?

Attackers copy customer records, financial documents, employee data, and intellectual property before encrypting systems. This stolen data is then used as leverage to demand payment.

Are some ransomware groups abandoning encryption entirely?

Yes, some groups have concluded that stealing data and threatening exposure is more profitable and less risky than deploying encryption malware across a network. Double extortion sits in the middle of that evolution, with attackers still encrypting but relying on data theft as the primary pressure point.

How common are ransomware attacks?

Kaspersky blocked 250,000 ransomware attacks across the Asia Pacific region in the first half of 2026. This volume shows how routine these attacks have become for organizations of every size.

勒索软件曾经遵循一个简单的套路：攻击者加密你的文件，你支付赎金换回数据，事情到此结束。一份最新发布的勒索软件防范指南阐述了为什么这种模式已经过时。现代勒索软件组织如今采用双重勒索手法，这意味着他们会在加密任何文件之前先窃取敏感数据。只有在复制了客户记录、财务文件、员工数据或知识产权之后，他们才会锁定系统并索要赎金。

双重勒索勒索软件究竟窃取什么

勒索软件曾经遵循一个简单的套路：攻击者加密你的文件，你支付赎金换回数据，事情到此结束。一份最新发布的勒索软件防范指南阐述了为什么这种模式已经过时。现代勒索软件组织如今采用双重勒索手法，这意味着他们会在加密任何文件之前先窃取敏感数据。只有在复制了客户记录、财务文件、员工数据或知识产权之后，他们才会锁定系统并索要赎金。

窃取行为本身就是筹码。如果受害者拒绝付款，攻击者就威胁公开被盗数据或将其出售给其他犯罪分子。无论该组织是否能够从备份恢复系统，这种威胁都成立。该指南的表述非常直接：双重勒索使“只需从备份恢复”这一旧建议失效，因为赎金要求不再仅仅是关于找回文件。它关乎防止数据泄露，而数据泄露可能引发监管罚款、诉讼以及声誉损害，这些影响在系统恢复上线后仍会长期持续。

这种转变已经酝酿了一段时间。正如最近一篇关于勒索软件团伙正完全放弃加密转向勒索的文章所报道的，一些团伙已经得出结论：窃取数据并威胁曝光比在整个网络上部署加密恶意软件的技术工作更有利可图且风险更低。双重勒索正处于这一演变过程的中间地带：攻击者仍然加密，但数据窃取已成为主要施压点。

为什么备份不再能保证安全

多年来，标准的勒索软件防御方法很直接：维护可靠的备份，如果攻击者加密了你的系统，就从干净的副本恢复并拒绝付款。这一建议对运营恢复仍然重要，但它不再能应对完整的威胁。完美的备份可以恢复你的服务器。但如果你不付款，它无法阻止攻击者公开发布被盗文件。

这一点很重要，因为数据泄露带来的财务和法律风险可能超过停机本身的成本。处理健康记录、财务数据或个人信息的组织，一旦被盗数据被确认，就面临通知要求和潜在处罚，无论赎金是否被支付。备份解决了可用性问题。它们没有解决保密性问题，而双重勒索正是专门利用这一缺口而设计的。

威胁的规模凸显了这种区别为何重要。追踪亚太地区的安全研究人员报告称，卡巴斯基在2026年上半年在亚太地区阻止了25万次勒索软件攻击，这一数量反映出这些攻击对各种规模的组织——而不仅仅是拥有专职安全团队的大型企业——已变得多么司空见惯。

分层防御：VPN、网络分段和访问控制

由于数据窃取发生在加密之前，预防必须聚焦于阻止攻击者首先接触到敏感数据，而不仅仅是在事后恢复。该指南指出应采用分层方法，而非单一修复手段。

VPN是有用的一层，特别是用于保护进入内部系统的远程访问，使远程员工与公司网络之间的凭据和流量不会在公共或不安全的连接上暴露。但仅靠VPN无法阻止已经通过钓鱼或泄露密码获得有效凭据的攻击者在进入网络后自由活动。这就是网络分段变得至关重要的地方：将系统划分为隔离区域，使被攻陷的设备或账户无法触及组织拥有的每一台服务器和数据库。如果攻击者无法横向移动，即使在初始入侵之后，他们也无法实施大规模数据窃取。

访问控制完善了这一层防御。限制哪些员工和系统可以访问敏感数据、要求多因素认证，以及监控异常数据传输，都能减少攻击者在被发现之前窃取信息的时间窗口。这些措施单独来看都不是万能药。但它们结合起来，能显著提高成功实施双重勒索攻击的成本和难度。

构建超越数据恢复的事件响应计划

仅围绕从备份恢复系统构建的事件响应计划在双重勒索时代是不完整的。组织需要一个计划，同时涵盖被盗数据被确认后的应对措施：谁来确定法律和监管通知义务，如何处理与客户和合作伙伴的沟通，以及组织如何决定是否进行谈判。这些决策在事件活跃期间的压力下做出，远比提前规划要困难得多。

这对你意味着什么

无论你经营一家小企业还是为大型组织管理IT，实际的结论都是一样的：双重勒索勒索软件防御策略不能止步于备份。数据窃取预防应当与数据恢复同等重视。这意味着要保护远程访问、对网络进行分段以使单个被攻陷的账户不会暴露一切，并制定一个涵盖数据暴露场景而不仅仅是停机的事件响应计划。

关键要点

假设任何勒索软件事件都可能涉及数据窃取，而不仅仅是加密，并据此制定计划。
将备份视为系统恢复的一层防御，而非应对勒索的完整解决方案。
使用VPN保护远程访问，但需配合网络分段和强访问控制来限制横向移动。
构建一个涵盖数据暴露和通知义务的事件响应计划，而不仅仅是系统恢复。
持续了解勒索软件战术的演变，因为攻击者会随着防御措施的改进而定期调整其方法。

FAQ： Q1: 什么是双重勒索勒索软件？ A1: 双重勒索是指攻击者在加密文件之前先窃取敏感数据，然后要求付款以防止数据被公开或出售。窃取行为本身成为筹码，即使受害者能够从备份恢复系统也是如此。 Q2: 为什么备份无法防范双重勒索？ A2: 备份通过恢复被加密的系统解决了可用性问题，但它们无法阻止攻击者公开发布被盗文件。由于赎金要求是为了防止数据泄露，从备份恢复并不能消除付款的压力。 Q3: 双重勒索攻击者窃取哪些类型的数据？ A3: 攻击者在加密系统之前复制客户记录、财务文件、员工数据和知识产权。这些被盗数据随后被用作索要赎金的筹码。 Q4: 有些勒索软件团伙是否完全放弃了加密？ A4: 是的，一些团伙已经得出结论：窃取数据并威胁曝光比在网络上部署加密恶意软件更有利可图且风险更低。双重勒索处于这一演变过程的中间地带，攻击者仍然加密，但依赖数据窃取作为主要施压点。 Q5: 勒索软件攻击有多常见？ A5: 卡巴斯基在2026年上半年在亚太地区阻止了25万次勒索软件攻击。这一数量表明这些攻击对各种规模的组织已变得多么司空见惯。 ---END---