中了勒索病毒怎么报警？要准备哪些材料？

报案（刑事报案）和事件报告（向主管部门的监管报告）目的不同、渠道不同，不能互相替代。

实操上，建议先电话或当面联系单位所在地的公安机关，由办案单位告知需要补充哪些材料。多个分支机构、云服务器和机房分布在不同城市时，如实说明分布情况即可，管辖由公安机关依法确定。

如果事件同时伴随资金被骗转出——例如银狐木马这类远控木马导致的冒充领导转账——报警和银行止付要排在所有技术动作之前，处置顺序见中了银狐木马怎么办。

报案之外，单位作为网络运营者、数据处理者或个人信息处理者，可能还要向主管部门报告。下表是与勒索事件关系最直接的几项规定。是否适用、向谁报、按什么口径报，以主管部门要求与法律顾问意见为准，本页不构成法律意见。

几个容易误解的地方：

• 「较大」怎么判断？ 分级指南同时给出定性标准和定量指标。与勒索事件关系较近的定量指标包括：关键信息基础设施整体中断运行 10 分钟以上或主要功能中断 30 分钟以上、泄露 100 万人以上公民个人信息、重要数据泄露威胁国家安全和社会稳定、造成 500 万元以上直接经济损失。没达到这些指标，不等于不用报案，也不等于行业主管部门没有别的要求。
• 报告内容要写赎金信息。 办法第七条列出了报告应包括的事项，其中对勒索软件攻击事件，还应当包括要求支付赎金的金额、方式、日期等。
• 迟报瞒报与从轻情形。 办法第十条规定迟报、漏报、谎报或者瞒报造成重大危害后果的，依法从重处罚；第十一条规定已采取合理必要的防护措施、按照应急预案处置并及时报告的，可视情从轻或不予追究责任。

涉及个人信息外泄时的通知与对外沟通，见勒索团伙威胁公开数据怎么办。

不必等材料齐全才去报案。建议按下面的清单整理成带目录的材料包，原件与副本分开存放，其余在办案人员指导下补交。

1. 单位与经办人

• 营业执照等单位主体证明、介绍信或授权委托书（以当地公安机关要求为准）
• 经办人身份证件，技术对接人的联系方式
• 受影响系统的归属：自有机房、托管机房还是云服务器，对应的服务商与账号主体

2. 事件说明与时间线

• 最早发现异常的时间、发现人、发现方式（业务报错、勒索信、安全告警）
• 已知节点：可疑登录、新增账号、杀毒软件被关闭、加密开始、勒索信出现
• 发现之后做过的每一个操作：谁在什么时间断网、重启、恢复了哪台机器——这决定哪些证据仍然可信
• 注明时间采用的时区，以及服务器时钟是否准确

3. 勒索相关原件

• 勒索信原文件（txt、html、hta 等）和桌面、登录界面的照片或截图
• 2–3 个加密样本，以及原始文件名和所在路径
• 攻击者联系方式：邮箱、TOX ID、Session 或 Telegram 账号、.onion 谈判地址、受害者 ID
• 赎金要求：金额、币种、钱包地址、期限——这也是事件报告要求填报的内容
• 与攻击者的任何往来：含完整邮件头的邮件原件、聊天记录导出文件

4. 日志与技术证据

• Windows 安全日志：登录成功与失败（事件 ID 4624 / 4625）、新建用户账户（4720）、加入本地安全组（4732）、安装服务（4697）、创建计划任务（4698）、审核日志被清除（1102）
• 防火墙、VPN、堡垒机、远程桌面与上网行为管理日志，重点是加密前数天到数周的外网登录与大流量出站
• 杀毒软件和 EDR 的告警记录与隔离区（不要清空）
• 可疑程序、脚本和新出现的远控软件的路径与样本

5. 影响与损失

• 受影响资产清单：主机名、IP、业务系统、数据类型、是否含个人信息
• 业务中断的时长与范围
• 损失评估：直接损失、恢复费用估算、可能的对外赔偿，暂时无法确定的注明「待评估」

证据保全只有一个目标：事后任何人都能核实「这份数据就是当时从那台设备上取下来的，而且没被改过」。

• 先镜像，后分析：对关键主机制作磁盘与内存镜像，所有分析和恢复都在副本上进行，原始介质不再写入；仍在运行的主机先采集内存。
• 计算并登记哈希值：每个镜像、日志导出文件和样本都计算 SHA-256 等校验值并登记。最高人民法院、最高人民检察院、公安部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第五条，把「计算电子数据完整性校验值」与封存原始存储介质、制作并封存备份、对提取过程录像等并列为保护电子数据完整性的方法。
• 不删、不清、不覆盖：不重装、不格式化、不清理日志、不清空隔离区，不把恢复出来的数据写回原盘。日志保留周期短的防火墙、VPN 设备要优先导出。
• 保管链可追溯：每份证据都记录由谁、在何时、从哪台设备、用什么方式采集，交给了谁、存放在哪里；介质交接时双方签字。
• 原始格式优先：截图只是辅助。邮件保留原始格式，勒索信保留原文件，聊天记录优先用官方导出功能。
• 控制接触范围：证据副本放在访问受控的位置，不通过个人网盘或即时通信工具随手传递。

我们的攻击溯源取证服务按这套流程采集磁盘、内存与日志证据，报告包含事件时间线、入侵入口判定、失陷资产清单、失陷指标和证据采集台账（来源、采集时间、哈希校验值），可作为报案时提交的技术材料，也可用于监管说明与保险理赔。需要说明：除另有约定并依法具备相应资质的情形外，技术取证报告不等同于司法鉴定意见；是否立案、如何认定由公安机关依法决定。

不冲突，关键在顺序：先固定证据，再在副本上恢复。镜像做完、日志导出完，恢复工作就可以并行推进，不需要等立案结论。如果办案人员要求提取原始介质或保留现场，按要求配合，并及时调整恢复方案。

报案之后常见的情况：

• 补充材料：办案人员可能要求补交日志、样本或书面说明，保持技术对接人联系畅通。
• 攻击者再次联系：新收到的邮件、消息原样保存并同步给办案人员，不要自行回复试探。
• 执法行动缴获的密钥：部分家族的密钥曾在执法行动中被缴获，例如 LockBit。报案有助于把您的案件与这类线索关联，但不能把它当作可以指望的恢复路径——能否恢复，仍取决于被加密的文件还能不能恢复里说的那些条件。
• 要不要付赎金：报案不影响单位自行决策，但我们不建议支付，也不代为谈判，风险分析见要不要交赎金。

最后别忘了收尾：入口没封、后门没清、凭据没换，报案做得再规范，也挡不住同一入口的第二次加密，见为什么反复中勒索病毒。

在华外企和有境外业务的单位，常常需要同时满足多个司法辖区的要求。境内系统受害，按上文向中国公安机关报案、按规定向主管部门报告；境外实体或境外数据受影响的，还要看当地要求。常见的对应渠道：

• 美国：可向 FBI 的互联网犯罪投诉中心（IC3，ic3.gov）或 FBI 外勤办公室、美国特勤局、CISA（cisa.gov/forms/report）报告；CISA 说明受害者只需报告一次，其他机构会收到通知。
• 英国：自 2025 年 12 月 4 日起，Report Fraud（reportfraud.police.uk）取代 Action Fraud，成为英格兰、威尔士和北爱尔兰的网络犯罪与欺诈报案渠道；网络安全事件还可通过 NCSC 的事件报告页面（report.ncsc.gov.uk）报告。

各地要求更新较快，具体以当地主管机构与法律顾问意见为准。