中了勒索病毒要不要交赎金？

先承认一个事实：付款的单位并不少。Sophos《2026 勒索软件现状》调查了 17 个国家的 2,158 名 IT 与安全负责人，数据被加密的组织中有 48% 支付了赎金。Cybereason 2024 年对 1,008 家曾遭勒索、员工 500 人以上企业的调查里，这个比例更高，84% 表示付过赎金。

受访者给出的理由很现实：没有可用备份、担心业务损失、对方威胁公开敏感信息、事发正值节假日人手不足、觉得付款最快。对一个生产线停着、客户在催货的企业来说，这些压力都是真实的。

但「为什么有人付」和「付了能不能解决问题」是两回事。这些理由都建立在同一个假设上：付款之后，数据会回来、泄露会停止、事情会结束。下面逐条看这个假设在公开证据里站不站得住。

我们的立场是明确的：不支付赎金、不代为谈判、不代购或代转加密货币。但决定权在您，我们要做的是让这个决定建立在事实上。

不一定，而且落差比很多人想象的大。美国 FBI 的表述很直接：付款并不保证能拿回任何数据，确有受害者付款后从未收到解密密钥。

即使拿到了解密器，问题也不少：

• 解密器本身有缺陷。 2019 年 12 月，Emsisoft 披露 Ryuk 团伙提供给付款受害者的新版解密器存在计算错误，处理超过 54.4 MB、被部分加密的文件时会多截掉末尾一个字节。VHD / VHDX 虚拟磁盘与 Oracle 等数据库文件恰恰把关键信息存在这里，解密后无法正常加载。
• 拿回来的数据不完整。 Cybereason 2024 年的调查中，付过赎金的企业只有 47% 拿回了未损坏的数据与服务。
• 解密本身也要时间。 解密器要在每台受影响主机、每份数据上运行，数十台主机、TB 级数据的解密、校验与上线仍要企业自己组织，停机时间不会因为付款就自动归零。

另一类承诺是「付款后删除窃取的数据」。2024 年 2 月，英国国家犯罪调查局（NCA）主导的 Cronos 行动接管 LockBit 基础设施后公开说明：LockBit 系统里有一部分数据属于已经支付赎金的受害者，这证明即使付了款，也不能保证数据被删除，无论犯罪分子承诺过什么。

最后是「付完就结束」。Cybereason 同一调查中，78% 的付款企业后来再次被勒索，63% 表示第二次被要求付更多。付款没有修补入侵入口，却向攻击者证明了这家单位愿意付钱。

以下是公开规定与官方指引的要点，不构成法律意见，具体以主管部门与法律顾问意见为准。

在中国境内。 2026 年 2 月 6 日，中国人民银行等八部门发布《关于进一步防范和处置虚拟货币等相关风险的通知》（银发〔2026〕42 号），同时废止 2021 年的 237 号文。通知重申：在境内开展法定货币与虚拟货币兑换等虚拟货币相关业务活动属于非法金融活动，一律严格禁止；金融机构（含非银行支付机构）不得为其提供账户开立、资金划转和清算结算等服务；任何单位和个人投资虚拟货币违背公序良俗的，相关民事法律行为无效；同时要求依法打击虚拟货币相关的诈骗、洗钱等违法犯罪活动。

这份通知并非专门针对赎金，但现实含义很清楚：为付赎金把人民币换成比特币或 USDT，几乎只能经由被禁止的兑换渠道或境外平台完成，出了问题无处追索。国有单位、上市公司与受监管行业对资金支出、信息披露和事件报告往往另有要求，个人垫付、事后报销之类的做法可能在审计时留下更大的问题。公安部网安局 2026 年 9 月的提示也把「不要轻易支付赎金」列为「三不要」之一。

涉及美国的主体。 美国财政部海外资产控制办公室（OFAC）2021 年 9 月 21 日更新的指引表示，美国政府强烈反对支付赎金；向受制裁个人、实体或全面禁运地区付款可能违反制裁规定，而且 OFAC 可以按严格责任追究民事处罚，即使不知道对方受制裁也可能被罚。指引明确提到，替受害者促成付款的金融机构、网络保险公司、数字取证与应急响应公司同样可能违规；主动、及时、完整地向执法机构报告并配合调查，会被视为减轻处罚的因素。OFAC 已把多个勒索相关的个人、团伙以及为其转移赎金的虚拟货币交易所（如 2021 年 9 月的 SUEX）列入制裁名单。

涉及英国的主体。 英国金融制裁执行办公室（OFSI）的勒索软件金融制裁指引（2026 年 1 月更新）写明：英国政府不纵容支付赎金；通过赎金向资产冻结对象提供资金违反金融制裁，属于严重刑事犯罪，可处监禁或罚款；赎金支付不太可能获得 OFSI 许可。按指引通过国家网络事件门户报告、主动向 OFSI 披露并配合执法的，OFSI 与 NCA 更可能以罚款或刑事调查以外的方式处理。

在华外企，以及有海外母公司、美元结算或美国关联方的企业，建议在任何付款讨论开始之前就让法务与合规介入。

市场上有一类服务以「勒索病毒解密」「不用交赎金也能恢复」为卖点，实际做法却是替受害者联系攻击者、支付赎金、拿到解密器，再把赎金连同服务费一并向受害者收取。

这不是猜测。2019 年 5 月，美国非营利新闻机构 ProPublica 调查了两家宣称用自有技术解密的美国数据恢复公司：Proven Data Recovery 的 CEO 承认付款是公司的常规做法，ProPublica 还通过区块链追踪到它向 SamSam 团伙支付的四笔赎金，相关钱包后来被美国财政部列入制裁；另一家 MonsterCloud 官网写着「不要付赎金」，却给一位客户报价 2.5 万美元，而对应赎金约 7,000 美元。公安部网安局 2026 年 9 月的「三不要」里，第一条就是「不要轻信网上解密工具、解密代理，谨防二次被骗」。

这类中介把前面几节的风险原样转嫁给您：解密器照样可能有缺陷，数据照样不保证被删除，资金照样流向攻击者，只是价格更高，而且您可能根本不知道自己付了赎金。辨别时可以抓住下面几点：

样本试解要看怎么试。 攻击者自己就提供「免费试解几个文件」，所以对方在您的样本上解开几个文件，只能证明它拿得到密钥，证明不了它没付赎金。更有说服力的做法是：由您自己挑选文件，其中包括大文件与数据库；要求对方同时说明解密原理；并在合同里写明「服务过程中不与攻击者联系、不向攻击者支付任何款项」。愿意把这句话写进合同的，至少说明对方对自己的技术路径有底。

不付款不等于放弃数据。可恢复性因家族、版本、加密方式与备份情况而异，常见路径有：

• 公开解密工具：少数家族因密钥泄露、执法缴获或实现缺陷，存在执法机构或安全厂商发布的解密器，但通常只对特定版本有效，使用前必须核对。
• 备份、快照与异地副本：Sophos 2026 年的调查中，数据被加密的组织有 66% 通过备份恢复。存储层与虚拟化层快照的管理权限常独立于备份系统，是经常被忽略的数据来源。
• 数据库与虚拟磁盘修复：不少家族对大文件只加密头部或采用间歇加密，数据页与磁盘数据段大量完好，可以提取出可读的业务数据，详见 数据库被勒索病毒加密怎么办。
• 残留与下游数据补齐：磁盘未分配空间中的残留、员工终端上的副本、对接系统里的同源数据。

哪条路径可行、能恢复到什么程度，要在只读副本上评估后才能下结论，整体判断思路见 被勒索病毒加密的文件还能恢复吗。

恢复只是一半，另一半是查清入口、清除后门、全量改密。否则不管付没付款，都可能再被加密一次，参见 为什么反复中勒索病毒 与我们的 应急响应服务。