勒索軟體不在乎：那是你小孩子的嬰兒照

2017 年 5 月 12 日星期五下午，英格蘭各地醫院的前台眼睜睜看著電腦螢幕變紅。一個視窗彈了出來：你的檔案已被加密，付 300 美元比特幣，三天之後價格翻倍。手術被取消。救護車被改道。

這次攻擊叫 WannaCry。一天之內，它蔓延到約 150 個國家的 20 萬台電腦。它教會了所有人一個道理——資安行業從那以後一直在重複，因為沒人愛聽：在勒索軟體眼裡，你的資料並不珍貴。它是庫存。

在加密眼裡，一切都是位元組

這是第一件要明白的事，也是勒索軟體與以往所有電腦犯罪不一樣的地方。小偷只偷有價值的，剩下的不碰。勒索軟體卻不加區分地加密——嬰兒照、報稅表、婚禮影片、一家公司的貨運清單——因為加密根本不需要知道檔案是什麼。它遍歷檔案系統，按副檔名找檔案，用沒人能破解的軍用級密碼學把它們攪亂。

這種殘忍是結構性的，不是針對你個人。沒人專門盯上那家醫院；你被加密，只是因為你搆得著——一台沒有更新修補、連在網路上、跑著有漏洞的 SMB 檔案共享協定的機器。WannaCry 借助的是 EternalBlue——由 NSA 開發、一個月前被一個叫 Shadow Brokers 的組織外洩出來的漏洞利用工具。你的回憶，成了別人武器計畫裡的附帶損傷。

六週之後來了 NotPetya——偽裝成勒索軟體，實為清除器——它透過烏克蘭稅務軟體 M.E.Doc 一個被汙染的更新進入，再借同一批竊取來的漏洞利用工具在企業網路裡橫向移動，連主開機紀錄都一併加密，機器根本開不了機。檔案是什麼不重要。重要的是，它們在那兒。

三億美元的「嬰兒照」

NotPetya 最有教育意義的受害者是馬士基——丹麥航運巨頭，全球海上貨運大約有五分之一經它的手。2017 年 6 月 27 日早上，馬士基的員工看著螢幕一塊接一塊地黑掉，遍布全球各地的辦公室。電話被拔掉。安排貨櫃船的訂艙系統停了。整整十天，這家公司相當一部分全球營運靠紙筆、即時通訊軟體和喊話在撐。

之後的復原，是有史以來在「戰時」狀態下進行的最大規模 IT 重建之一：約 4,000 台伺服器、45,000 台電腦、2,500 個應用程式從零重裝。最終帳單估計在 2 億到 3 億美元之間。聯邦快遞的歐洲子公司 TNT Express 在同一次攻擊中損失了約 3 億美元。製藥公司默克損失了約 6.7 億美元。

對這個故事真正要緊的細節在這裡：馬士基得救，一部分靠的是運氣和斷聯。迦納的一台網域控制器——在關鍵時刻因為當地停電正好離線——在所有連網機器都被加密的時候活了下來。那台唯一搆不著的伺服器，成了公司重建整個網路身分的種子。活下來的那份拷貝，正是攻擊者碰不到的那份——不是最先進的備份系統，只是一台碰巧拔了電的機器。

你的備份也在名單上

大多數人的備份策略，如果有的話，長這個樣子：一塊插在電腦上的外接硬碟，或者一個同步到雲端的資料夾。兩者都搆得著。而「搆得著」，正是勒索軟體獵殺的東西。

現代勒索軟體不只加密你的文件。它會列舉網路共享。它會加密你桌上那支隨身碟。它會在你來得及用之前，先刪掉 Windows 的磁碟區陰影副本——系統自己的還原點。有些變種會安安靜靜地潛伏幾週，慢慢加密雲端同步的資料夾，讓損壞的版本同步到每一台裝置，毒化整個版本歷史。你的備份、你的同步、你那句「沒事，在雲上呢」——全都在同一個網路裡、同一套憑證後面，只隔一次橫向移動。

這就是為什麼資安從業者在「備份」和「氣隙備份」之間劃一條硬線。備份是一份拷貝。氣隙備份是一份搆不著的拷貝——你圖方便的時候搆不著它，所以攻擊者在等機會的時候同樣搆不著。不便，正是保護本身。每一個讓備份更容易搆著的捷徑，都讓它更容易被毀掉。

「搆不著」的物理學

行業裡勒索軟體復原的黃金標準三十年幾乎沒變，原因就在這裡：一份離線拷貝，放在另一個地點，做過復原測試。磁帶庫。拔下來的硬碟。一次寫入的介質。這套技術刻意不起眼，因為起眼就是攻擊面。

想一想，攻擊者要毀掉一份真正的氣隙拷貝，得做些什麼。走網路搆不著，因為它根本不在網上。用偷來的憑證加密，也不行，因為沒有任何憑證能解鎖一塊躺在貨架上密封袋裡的硬碟。他得親自找到那棟樓，過得了門，把手放到介質上。這就把一次可規模化的軟體攻擊——一個漏洞，20 萬個受害者——變成了一樁入室竊盜。而竊盜沒法規模化。這正是整盤棋的關鍵：勒索軟體是一門規模經濟，氣隙打破的就是這門經濟。

Epicurus 有個詞，形容這種安排帶來的狀態：ataraxia，通常譯作「安寧」。這種安靜不是因為相信壞事不會發生，而是因為你已安排妥當——壞事就算發生，也搆不著要緊的東西。大多數資安產品賣給你的是第一種安靜：相信我們，我們在盯著。一份離線拷貝給你的是第二種：誰在盯著都不重要，因為根本沒有東西可看。

不起眼的紀律

這些都不是新東西。3-2-1 法則——三份拷貝、兩種介質、一份異地且離線——比 WannaCry 早了幾十年。勒索軟體時代改變的，是跳過最後一步的代價。2010 年，跳過離線拷貝，賭的是失火或者硬碟壞死。2017 年之後，賭的是一個會主動獵殺你所有拷貝的對手。

而最後這一步仍然沒人做，因為它是唯一抗拒自動化的部分。氣隙沒法靠勾一個選框完成。總得有人把硬碟拔下來，帶到別處存放，定期檢查、核對、再放回去。這是清潔式的活兒——編號、封存、記錄、檢查——按日程做，永遠做下去。

這正是它作為個人習慣會失敗、作為職業會成功的原因。做得最好的人，是那些不把它當成擠在別的事情之間的雜務、而是把它當成全部工作的人：接收介質，用帶編號的封條封好，拍下封條的照片，把拷貝分開存放在兩個地方，按計畫檢查封條，記錄，重複——而且，只有當介質的主人書面提出要求時，才會給一塊硬碟通電去驗證它。無聊，有據可查，而且——當某個星期五下午螢幕變紅的時候——它就是「中斷」和「結局」之間的區別。

你的嬰兒照不會更安全，不是因為勒索軟體有了良心。是因為從攻擊者到那塊硬碟之間，根本沒有路。沒有路，就沒有贖金。這不是產品推銷。這是物理。

Everkeep 為你自己擁有、自己加密的硬碟提供離線保管：帶編號的封條、拍照記錄、兩份拷貝分置兩地、按計畫檢查封條——而且只有在你書面要求時，才會通電驗證。每個設備槽位 199 美元/年。