7月30日，西安一家建筑工程公司向公安网安部门报警：公司核心业务数据被勒索病毒全部加密，经营一度陷入停滞。
事后排查，原因并不"高级"——办公系统长期没更新、服务器远程端口没有防护、多个账号挂着弱口令。攻击者没有骗任何员工点链接，是从漏洞直接登录进来的，整个过程无人察觉。
这种病毒，专挑"停不起工"的企业下手这不是孤例。国家计算机病毒应急处理中心近期发布预警：名为"Sorry"的勒索病毒家族已在国内出现多起攻击。它最大的特点是不需要用户点击任何链接，借助系统漏洞就能"无感"入侵服务器，然后加密全部重要文件。
为什么是制造业、是中小企业？
安全专家有句大白话：谁的数据值钱、谁停不起工，谁就是目标。Orange Cyberdefense《Security Navigator 2026》显示，全球被勒索的组织已超过1.9万家，中小企业约占三分之二；2026年上半年全球勒索索赔案例同比上涨25%；国内约一半受害者集中在制造业。
大厂的遭遇更能说明后果：富士康美国多家工厂遭勒索攻击后断网停产多日，8TB、上千万份客户敏感文件疑被窃取；可口可乐旗下乳制品工厂因勒索攻击被迫停产；德国一家有37年历史的老牌纺织企业，停产6周后直接申请破产。

做了备份，为什么还是救不了你？很多老板的第一反应是："我做了备份，大不了恢复一遍。"
三个现实问题：
第一，勒索病毒进系统后的优先目标就是备份。备份服务器、NAS、云备份账号，都在它的扫描清单上——主数据和备份一起被加密，是常态。
第二，它会"二次加密"。病毒会伪装成合法备份进程，对已经加密的文件再加密一遍，恢复彻底无门。
第三，加密原理决定了几乎无解。病毒在你电脑上随机生成一把对称密钥，开锁的私钥在攻击者手里。安全人员就算拿到完整的病毒样本，也找不回解密的钥匙。
所以备份当然要做，但备份从来不是防线，只是底线。
中招后的48小时，什么该做、什么不该做如果你现在正在经历，记住顺序：
1. 先断网，再排查。拔网线、关核心交换机，阻止病毒向内网扩散。不要重启，不要先忙着杀毒——重启可能触发加密逻辑，也可能破坏证据。
2. 保留证据，马上报警。勒索信截图、被加密的文件样本、服务器日志，都留好，这是后续定损和追赃的依据。
3. 别急着付赎金。付了钱不保证拿到有效密钥，还会让你被标记为"愿意付款的目标"，二次上门是大概率事件。
4. 恢复之前，先堵入口。西安那家公司三条全中：系统没打补丁、远程端口裸奔、弱口令。不堵上，重装多少次都会被再攻破。
真正管用的防护：不认"病毒长什么样"，只认"谁有资格碰数据"传统杀毒软件靠病毒特征库，本质是"黑名单"——先有人中毒、样本上传、特征更新，才能防住下一个。面对变种和免杀，它永远慢一步。
工业界成熟的防勒索思路是反过来的：进程白名单。只有登记在册的可信进程才能访问受保护数据。勒索病毒就算拿了管理员权限，不在名单里也碰不到文件——病毒怎么变种都无所谓，因为它最终必须靠执行恶意进程来完成加密。
再叠两层：
数据落盘即密文。文件存放在硬盘上时就是加密状态，密钥保存在硬件密码卡里。攻击者就算绕过所有防护把文件拷走，拿到的也只是一堆乱码。
备份单独设防。备份服务器与生产网络隔离，只允许备份程序读写。主系统失陷时，备份还能用——这决定了你是"停三天"还是"停三周"。
这三层（进程白名单+透明加密+备份隔离），是我们给制造业客户落地时验证最多的组合。通常的顺序是：先补基础项——打补丁、关闭不必要的远程端口、消灭弱口令、管理员账号加二次验证；再叠进程白名单和透明加密。基础项不花钱，但能挡住大多数扫描式攻击；上层建筑，决定你能扛住多专业的对手。

给老板的一份自查清单• 远程管理端口，是否暴露在公网上？
• 备份服务器，是否和生产网络隔离？有没有一份离线备份？
• 核心系统补丁多久没打了？还有多少个账号在用弱口令？
三条里中了任何一条，都值得这周就动手。
勒索攻击不会跟你约时间。你的公司上一次做安全自查，是什么时候？评论区聊聊。