勒索病毒最怕的不是没付钱，而是你有离线备份。中招后的处置顺序错了，会把本来能救回来的数据一起弄丢。
先说清楚场景
第一反应通常是关机、拔网线，或者反过来——立刻重启看看能不能好。这两个动作都可能让情况更糟：重启可能触发二次加密，不拔网线则会让病毒继续横向加密共享盘和备份。
正确顺序是：先止血、再取证、再评估、最后恢复。顺序错了，恢复出来的可能还是带毒的数据。
该看的几项
- 止血：断开网络（拔网线/关无线），不要关机，避免加密进程继续运行并抹掉内存里的线索。
- 隔离：同一网段的其他机器、NAS、共享盘、连着网的备份，立刻断开。勒索病毒横向移动非常快。
- 判断类型：看勒索信文件名、加密后缀、是否有已知解密工具。不要自行下载「万能解密工具」，十有八九是二次投毒。
- 评估备份：确认离线备份是否完好、是否在感染时间点之前、能否恢复。这一步决定你要不要付钱。
- 取证与报警：保留日志和样本，报警并联系专业机构。企业内部事后要能说清「从哪进来的」。
常见的两个误区
- 误区一：以为付钱就能拿回数据。付了不解密、二次勒索的比例很高，而且付款本身可能涉及合规风险。
- 误区二：以为「云同步」等于备份。同步会把加密后的文件同步到云端，覆盖掉正常版本。只有具备版本控制或不可删除保护的云备份才算。
按这个顺序做
- 先补齐 3 份副本：本机/服务器一份、云或异地一份、离线一份。前两份都连着网，只有第三份能救命。
- 离线那份平时不挂载，备份完就断开；云备份开版本控制与不可删除保护。
- 每月抽一个文件做恢复演练，记下耗时。没恢复过的备份不叫备份。
- 管控外来 U 盘与陌生附件，这两条是最常见的入口。
什么时候需要工具
自助排查时先看备份这一项：如果「有 3 份副本且其中 1 份离线」这条没做到，其它都是次要的。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。