勒索软件不在乎：那是你孩子的婴儿照

2017 年 5 月 12 日星期五下午，英格兰各地医院的前台眼睁睁看着电脑屏幕变红。一个窗口弹了出来：你的文件已被加密，付 300 美元比特币，三天之后价格翻倍。手术被取消。救护车被改道。

这次攻击叫 WannaCry。一天之内，它蔓延到约 150 个国家的 20 万台电脑。它教会了所有人一个道理——安全行业从那以后一直在重复，因为没人爱听：在勒索软件眼里，你的数据并不珍贵。它是库存。

在加密眼里，一切都是字节

这是第一件要明白的事，也是勒索软件与以往所有电脑犯罪不一样的地方。小偷只偷有价值的，剩下的不碰。勒索软件却不加区分地加密——婴儿照、报税表、婚礼视频、一家公司的货运清单——因为加密根本不需要知道文件是什么。它遍历文件系统，按扩展名找文件，用没人能破解的军用级密码学把它们搅乱。

这种残忍是结构性的，不是针对你个人。没人专门盯上那家医院；你被加密，只是因为你够得着——一台没有打补丁、连在网络上、跑着有漏洞的 SMB 文件共享协议的机器。WannaCry 借助的是 EternalBlue——由 NSA 开发、一个月前被一个叫 Shadow Brokers 的组织泄露出来的漏洞利用工具。你的回忆，成了别人武器计划里的附带损伤。

六周之后来了 NotPetya——伪装成勒索软件，实为擦除器——它通过乌克兰税务软件 M.E.Doc 一个被污染的更新进入，再借同一批窃取来的漏洞利用工具在企业网络里横向移动，连主引导记录都一并加密，机器根本开不了机。文件是什么不重要。重要的是，它们在那儿。

三亿美元的"婴儿照"

NotPetya 最有教育意义的受害者是马士基——丹麦航运巨头，全球海上货运大约有五分之一经它的手。2017 年 6 月 27 日早上，马士基的员工看着屏幕一块接一块地黑掉，遍布全球各地的办公室。电话被拔掉。安排集装箱船的订舱系统停了。整整十天，这家公司相当一部分全球运营靠纸笔、即时通讯软件和喊话在撑。

之后的恢复，是有史以来在"战时"状态下进行的最大规模 IT 重建之一：约 4,000 台服务器、45,000 台电脑、2,500 个应用从零重装。最终账单估计在 2 亿到 3 亿美元之间。联邦快递的欧洲子公司 TNT Express 在同一次攻击中损失了约 3 亿美元。制药公司默克损失了约 6.7 亿美元。

对这个故事真正要紧的细节在这里：马士基得救，一部分靠的是运气和断联。加纳的一台域控制器——在关键时刻因为当地停电正好离线——在所有联网机器都被加密的时候活了下来。那台唯一够不着的服务器，成了公司重建整个网络身份的种子。活下来的那份拷贝，正是攻击者碰不到的那份——不是最先进的备份系统，只是一台碰巧拔了电的机器。

你的备份也在名单上

大多数人的备份策略，如果有的话，长这个样子：一块插在电脑上的移动硬盘，或者一个同步到云端的文件夹。两者都够得着。而"够得着"，正是勒索软件猎杀的东西。

现代勒索软件不只加密你的文档。它会枚举网络共享。它会加密你桌上那块 U 盘。它会在你来得及用之前，先删掉 Windows 的卷影副本——系统自己的还原点。有些变种会安安静静地潜伏几周，慢慢加密云端同步的文件夹，让损坏的版本同步到每一台设备，毒化整个版本历史。你的备份、你的同步、你那句"没事，在云上呢"——全都在同一个网络里、同一套凭据后面，只隔一次横向移动。

这就是为什么安全从业者在"备份"和"气隙备份"之间划一条硬线。备份是一份拷贝。气隙备份是一份够不着的拷贝——你图方便的时候够不着它，所以攻击者在等机会的时候同样够不着。不便，正是保护本身。每一个让备份更容易够着的捷径，都让它更容易被毁掉。

"够不着"的物理学

行业里勒索软件恢复的黄金标准三十年几乎没变，原因就在这里：一份离线拷贝，放在另一个地点，做过恢复测试。磁带库。拔下来的硬盘。一次写入的介质。这套技术刻意不起眼，因为起眼就是攻击面。

想一想，攻击者要毁掉一份真正的气隙拷贝，得做些什么。走网络够不着，因为它根本不在网上。用偷来的凭据加密，也不行，因为没有任何凭据能解锁一块躺在货架上密封袋里的硬盘。他得亲自找到那栋楼，过得了门，把手放到介质上。这就把一次可规模化的软件攻击——一个漏洞，20 万个受害者——变成了一桩入室盗窃。而盗窃没法规模化。这正是整盘棋的关键：勒索软件是一门规模经济，气隙打破的就是这门经济。

Epicurus 有个词，形容这种安排带来的状态：ataraxia，通常译作"安宁"。这种安静不是因为相信坏事不会发生，而是因为你已安排妥当——坏事就算发生，也够不着要紧的东西。大多数安全产品卖给你的是第一种安静：相信我们，我们在盯着。一份离线拷贝给你的是第二种：谁在盯着都不重要，因为根本没有东西可看。

不起眼的纪律

这些都不是新东西。3-2-1 法则——三份拷贝、两种介质、一份异地且离线——比 WannaCry 早了几十年。勒索软件时代改变的，是跳过最后一步的代价。2010 年，跳过离线拷贝，赌的是失火或者硬盘坏死。2017 年之后，赌的是一个会主动猎杀你所有拷贝的对手。

而最后这一步仍然没人做，因为它是唯一抗拒自动化的部分。气隙没法靠勾一个选框完成。总得有人把硬盘拔下来，带到别处存放，定期检查、核对、再放回去。这是保洁式的活儿——编号、封存、记录、检查——按日程做，永远做下去。

这正是它作为个人习惯会失败、作为职业会成功的原因。做得最好的人，是那些不把它当成挤在别的事情之间的杂务、而是把它当成全部工作的人：接收介质，用带编号的封条封好，拍下封条的照片，把拷贝分开存放在两个地方，按计划检查封条，记录，重复——而且，只有当介质的主人书面提出要求时，才会给一块硬盘通电去验证它。无聊，有据可查，而且——当某个星期五下午屏幕变红的时候——它就是"中断"和"结局"之间的区别。

你的婴儿照不会更安全，不是因为勒索软件有了良心。是因为从攻击者到那块硬盘之间，根本没有路。没有路，就没有赎金。这不是产品推销。这是物理。

Everkeep 为你自己拥有、自己加密的硬盘提供离线保管：带编号的封条、拍照记录、两份拷贝分置两地、按计划检查封条——而且只有在你书面要求时，才会通电验证。每个设备槽位 199 美元/年。