为何勒索软件攻击如今以数据窃取而非加密为核心
多年来，标准的勒索软件操作方式很简单：入侵系统、加密文件、索要解密密钥。备份就是答案。恢复系统，无视勒索通知，照常运营。然而，这种方式如今已基本失效。
当下的勒索软件团伙已经适应了一个事实：许多组织完全能够从加密中恢复过来。于是，他们转移了施压的筹码。在锁定任何东西之前，攻击者会悄悄地将敏感文件、财务记录、员工数据、客户信息从网络中复制出去。加密几乎变成了次要手段，有时甚至直接被跳过。真正的威胁在于，如果不支付赎金，被盗数据就会被发布到公开泄露网站上。这正是安全研究人员一直在密切追踪的勒索软件数据勒索威胁，它彻底改变了各类组织对于“做好准备”的真正理解。
这种模式并非某一地区或行业所独有。例如，关于印度勒索软件事件的报告发现，如今大多数攻击都涉及数据窃取，而非单纯的加密，这与 Proofpoint 对当地勒索软件活动的分析 结果一致。同样的态势也在更靠近本土的地方上演，包括圣路易斯大都会区。
关于圣路易斯地区事件的已知情况
据总部位于圣路易斯的 IT 与网络安全公司 CHR Solutions 的报道，仅在过去几个月内，该大都会区的学校系统、城市网络和地方企业就遭到了勒索软件的攻击。这家直接与地区组织合作以消除安全漏洞的公司，将这描述为一个反复出现的本地问题，而非遥远的新闻标题。现有报道中关于具体事件的细节有限，但所描述的模式与全国范围内的趋势如出一辙：公共部门网络和中小型企业是常见目标，往往因为它们比大型企业拥有更少的专职安全资源。
学区和市政网络对于基于勒索的攻击而言，是特别诱人的目标。它们持有大量个人数据，包括学生、员工和居民记录，而且通常面临着避免服务中断的公众压力，这可能导致它们更倾向于谈判。当攻击者清楚他们的筹码不再是“你能否在没有文件的情况下运作”，而是“你是否能承受这些数据被公开的后果”时，支付赎金的压力就会大大增加。
双重勒索如何改变中小企业的风险决策
双重勒索——即在加密系统的同时威胁泄露被盗数据——从根本上改变了较小组织面临的风险方程式。一个拥有可靠、经过测试的备份的企业，过去有着清晰的恢复路径：恢复并重建。但备份无法阻止泄露网站发布客户合同、员工社会安全号码或专有业务数据。
这对那些可能认为仅凭备份就构成勒索软件防御的中小企业而言，意义重大。关于泄露威胁如何在实践中发挥作用，近期的一个例子涉及 Play 勒索软件团伙声称对 Kreysler & Associates 的攻击，该团伙遵循其典型的操作模式，威胁要公开被盗数据，而非仅仅依赖加密来强迫付款。诸如此类的案例表明，攻击者手中的谈判筹码，已从“我们锁定了你的系统”转变为“我们掌握了你的数据，并将公之于众”。这是一种备份恢复根本无法解决的声誉、法律和监管风险。
对于没有专门安全团队的小型组织来说，这种转变意味着事件响应计划需要涵盖数据泄露的场景，而不仅仅是系统停机。
应对勒索风险的实际强化步骤
备份依然至关重要，但仅凭备份已不足够。认真想要降低勒索风险的组织，应关注超越传统灾难恢复的几个领域：
- 限制攻击者能窃取的内容。 尽可能减少数据保留，并对网络进行分段，确保单个受损账户无法访问所有数据。
- 监控数据渗出，而非仅监控加密。 能够标记异常外发数据传输的检测工具，可以在文件离开网络之前发现攻击，这通常比仅关注加密的监控更早察觉威胁。
- 加强身份控制。 多因素认证和严格管理的特权账户，仍然是阻止攻击者获取初始访问权限（以窃取数据）的最有效屏障之一。
- 制定应对泄露威胁的事件响应计划。 法律、沟通和监管通知的步骤应在攻击发生前规划好，而非在攻击过程中。
这对你意味着什么
如果你所在组织的勒索软件应对计划仍主要围绕备份和恢复程序，那么它应对的还是昨天的威胁。勒索软件数据勒索威胁意味着，真正的风险往往是在你发现问题之前，攻击者已经复制了哪些内容。无论你是学区、市政办公室，还是处理客户数据的小企业，这一点都适用。认为自己规模太小、不会成为目标，已不再是稳妥的假设；较小的组织恰恰常因其防御措施较少而被选中。
关键要点
- 勒索软件攻击日益将数据窃取和泄露威胁置于单纯加密之上，这一模式在地区和国际层面均有体现。
- 通过备份从加密中恢复，并不能消除被盗数据被公开的风险。
- 包括学校和市政网络在内的中小型组织，由于安全资源有限，仍然是常见目标。
- 有效的防御如今要求监控数据渗出、收紧访问控制，并围绕可能发生的公开泄露（而不仅是系统停机）来规划事件响应。
