勒索团伙威胁公开数据怎么办？

「数据已被窃取，不付款就公开」背后常见四种情况，处置重点各不相同：

所以第一步不是回应，而是核实：对方给出的文件清单或样本与内部数据是否吻合、其中最新文件的时间戳是否晚于以往已知的泄露事件、数据是否可能来自供应商或云服务而不是本单位系统。不建议为了索要「证明」主动联系对方——一旦联系，就进入了对方设计好的谈判节奏。

也别低估速度。CISA 2025 年 11 月更新的 Akira 联合公告提到，部分事件中攻击者在初始访问后两个多小时就完成了数据外传。「刚发现就加密了，应该来不及偷」这种推断站不住。

判断依据主要来自四类证据，彼此印证时结论才站得住：

CISA 在 Akira 公告里记录的组合很典型：用 FileZilla、WinRAR 收集数据，用 7-Zip 压缩，用 WinSCP、Rclone 外传，并借助 Ngrok 隧道和 MEGA 等云存储服务。不同家族的具体工具不同，但「收集—打包—外传」这条链路大体一致。

还有一个常被忽视的参照：对方放出的样本本身。样本的目录结构、文件路径和服务器名，往往能直接指向是哪台机器、哪个共享目录被读取过，从而反推时间窗口。

结论要分级表达：「已证实」「高可能性」「无法确认」。流量日志缺失时，只能基于主机痕迹给出可能性判断，我们的溯源取证报告会把这种不确定性标注出来，不把推断写成事实。也要提醒一句：「没找到外传证据」不等于「没有外传」，是否据此决定不通知，应由法务和合规部门判断。

不能指望。能拿到的公开证据都指向同一个方向：

• 英国国家犯罪调查局（NCA）2024 年 2 月公布打击 LockBit 的 Cronos 行动时披露，LockBit 系统中的部分数据属于已经支付赎金的受害者，并指出这证明即使付了赎金，也不能保证数据被删除，无论犯罪分子作过什么承诺。
• Coveware 2020 年 11 月的季度报告列出了付款后失信的做法：Sodinokibi 在受害者付款数周后，拿同一批数据再次勒索；Netwalker、Mespinoza 公布了已付款公司的数据；Conti 用伪造的文件充当「已删除」的证明。Coveware 据此提醒，付款的受害者应假定数据会被交易、出售，或被留作下一次勒索。

道理也不复杂：数据可以无限复制，团伙内部与附属成员多人经手，「删除」在技术上无从验证。同样的道理适用于声称能「代删数据」「撤下泄露站条目」的中介——他们同样无法验证删除，所谓代删，实质仍是向攻击者付款。

我们的立场是不支付赎金、不代为谈判。付款决策涉及的完整风险，见中了勒索病毒要不要交赎金。把这段时间用在核实外泄范围、履行通知义务和封堵外传通道上，结果更可控。

这取决于泄露的是什么数据、涉及多少人、单位属于哪类主体。与数据外泄最直接相关的规定：

• 《个人信息保护法》第五十七条：发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应包括：信息种类、原因和可能造成的危害；已采取的补救措施和个人可以采取的减轻危害的措施；处理者的联系方式。采取措施能够有效避免危害的，可以不通知个人，但主管部门认为可能造成危害的，有权要求通知。
• 《网络数据安全管理条例》第十一条：网络数据安全事件对个人、组织合法权益造成危害的，应当及时把安全事件和风险情况、危害后果、已采取的补救措施，以电话、短信、即时通信工具、电子邮件或者公告等方式通知利害关系人。
• 《数据安全法》第二十九条：发生数据安全事件时，按照规定及时告知用户并向有关主管部门报告。
• 《国家网络安全事件报告管理办法》：泄露 100 万人以上公民个人信息、重要数据泄露威胁国家安全和社会稳定，都在较大网络安全事件的定量指标之列，需要按 1 小时或 4 小时的时限报告。报告渠道与材料见中了勒索病毒怎么报警。

受监管行业、上市公司，以及与客户、合作方签有数据保护条款的单位，往往还有各自的时限与口径。境外实体或境外个人的数据受影响时还要看当地规定，例如英国 GDPR 要求，可能对个人权利和自由造成风险的个人数据泄露，应在知悉后 72 小时内（可行时）向 ICO 报告。

以上是规定要点，不是法律意见。 是否构成通知情形、通知谁、何时通知、怎么措辞，以主管部门要求与法律顾问意见为准；我们提供外泄范围与技术事实，支撑这个判断。

对外沟通最常见的两种失误：一是太早否认，二是太晚开口。几条原则：

• 只讲已核实的事实：把「已经确认」「正在调查」「暂时无法确认」分开讲，不猜测范围，也不为了安抚而承诺「数据没有外泄」。
• 一个口径、一个出口：指定对外发言人，客服、销售、法务用同一份口径；每次更新都保存版本和发送记录。
• 告诉对方能做什么：提醒客户警惕以本单位名义发出的更改收款账户、索要密码或验证码的邮件和电话，付款变更一律通过已知电话核实；必要时建议其修改在本单位系统中使用过的密码。有的团伙会绕过受害单位，直接给客户、合作方发邮件或打电话施压，提前打招呼能减少恐慌和二次受骗。
• 别让客户从泄露站上先知道：面向主管部门、办案单位、受影响个人和客户的通知顺序与内容，按法律顾问意见确定，但要赶在信息从外部传开之前。
• 做好法律层面的证据保全：勒索邮件原件、对方给出的样本清单、泄露站页面截图与抓取时间都固定保存并计算哈希；是否需要公证、可信时间戳等保全方式，由法律顾问决定。

已经被带走的数据收不回来，但可以阻止第二次。泄露威胁期间，攻击者往往仍保留着入口：

• 封堵外传通道：服务器出站改为白名单，临时阻断到网盘类、文件分享类服务的访问；清除 Rclone 等传输工具及其配置，排查计划任务和服务中的外传脚本。
• 全面轮换凭据：域管理员和服务账号、VPN 与远程访问账号、数据库连接串、云控制台与 API 密钥、SaaS 的 OAuth 授权令牌。只改被加密服务器的密码远远不够。
• 清查持久化：陌生账号、远控软件、Web 后门、隧道工具，确认清除之后再恢复正常出站。
• 补上检测：对大流量出站、非工作时段批量读取共享目录、传输工具执行建立告警，并在一段时间内持续监测泄露站和相关渠道是否出现本单位的新内容。

入口不封、凭据不换，同一团伙或买到访问权限的另一伙人还会回来，见为什么反复中勒索病毒。需要在短时间内同时完成止损、取证和加固的，可以由我们的应急响应团队接手。