摘要：尽管网络安全工具数量激增并开展了多项宣传活动，全球各地的组织仍以惊人比例向勒索软件攻击者屈服。根据 Rubrik Zero Labs 的最新研究，过去一年 86% 的全球组织承认在网络攻击后支付了赎金——这一数字突出体现了一个严峻现实：最薄弱的仍是“恢复”，而

尽管网络安全工具数量激增并开展了多项宣传活动，全球各地的组织仍以惊人比例向勒索软件攻击者屈服。根据 Rubrik Zero Labs 的最新研究，过去一年 86% 的全球组织承认在网络攻击后支付了赎金——这一数字突出体现了一个严峻现实：最薄弱的仍是“恢复”，而非“预防”。

01

研究来源与调查范围

这一发现来自 Rubrik 2025 年度报告《数据安全状况：分布式危机》，该报告调查了来自 10 个国家（包括美国、英国、法国、德国、印度和新加坡）的 1600 多位 IT 和安全领导者。报告显示，即使企业采用混合及多云基础设施以提升敏捷性，许多企业中招后没有缴纳赎金，但从勒索软件中恢复的能力严重不足。

02

备份系统成为攻击目标

另外一个关键洞见：74% 的组织表示其备份与恢复基础设施被部分破坏，而 35% 报告称遭到完全破坏。针对恢复系统的攻击已成为现代勒索软件行动的标志。

Rubrik Zero Labs 负责人 Joe Hladik 表示：“黑客愈发专注于在部署加密前先摧毁备份基础设施。技术手段包括利用 Mimikatz 等工具进行凭证窃取与权限提升，或利用暴露的接口提取明文凭证。”

Hladik 补充说，黑客还滥用合法备份软件 API 来删除或修改快照——这一技术在归因于 FIN7 和 ALPHV 等团伙的行动中已被观察到。

“自动化侦察也越来越常见，” Hladik 指出，“黑客利用 Active Directory 枚举及 SharpHound 等工具绘制备份环境拓扑，从而优先禁用恢复系统。”

03

为何仍支付赎金？

即便具备网络韧性解决方案——例如不可变备份、隔离存储和自动化恢复——组织在攻击来袭时仍常常措手不及。Hladik 认为原因并非总是技术层面的问题。

“这是勒索软件中最令人沮丧的动态之一，”他说，“备份或许存在，但保留策略、访问控制或离线副本往往缺失或过时。即便备份可用，缓慢或复杂的恢复流程也会导致无法接受的停机时间，最终管理层选择支付赎金。”

他还提到双重勒索战术的兴起：黑客会先窃取敏感数据，若赎金未付则威胁公开泄露。

“这就是为什么企业必须认识到，韧性不仅是拥有正确的工具，更是能在高压下运用这些工具的运营准备度。桌面演练和按 SLA 驱动的恢复验证必须成为常规实践。”

Rubrik 自身遥测并不收集赎金金额，但 Hladik 引用行业研究称，全球平均赎金约 47.9 万美元，中位数 20 万美元。对医疗和金融等高风险行业，数字上涨更快。

“仅在印度，” Hladik 补充道，“平均赎金已达 480 万美元，62% 事件的赎金要求超过 100 万美元。这清楚表明黑客正在基于地理、行业和紧迫度定制赎金。”

04

恢复时限与管理压力

快速恢复的紧迫性常常左右支付决策。Hladik 解释，响应延迟是黑客扩大控制权的关键因素。“在许多行业，平均潜伏时间仍高达 10 天以上，使对手有足够时间禁用防御和备份作业。”

这些延误抬高了风险，尤其在停机意味着监管审查、声誉受损甚至高层变动的行业。Rubrik 在部分地区发现，攻击后撤掉高管或董事会直接参与程度上升呈明显。

05

身份成为主要攻击向量

报告还强调黑客行为的转变：身份被攻陷正成为勒索软件事件的主导入口。Rubrik 遥测显示，身份策略如今驱动近 80% 的所有违规事件。黑客借助被盗凭证进入系统，随后提升权限并在混合环境横向移动。

Rubrik 印度董事总经理 Ashish Gupta 指出，身份系统——尤其是遗留的 Active Directory 部署——已成首要目标。

“在印度，大型企业高度依赖 AD，不仅用于身份验证，还用于 DNS、DHCP 和 PKI，” Gupta 说，“这种深度集成令 AD 变得至关重要，也让黑客通过破解身份即可获得极广攻击面。”

从全球范围看，黑客快速识别 AD 错误配置和升级延迟，持续加以利用。

06

战略转向：备份即防线

Rubrik 调查表明，减少赎金支付的路径不仅是添置工具，更在于提升准备度——隔离备份系统避免与域账号共域，保护 API，实施行为异常检测，并开展定期威胁导向恢复演练。

Hladik 建议：“企业需要保护备份 API，限制权限提升路径，也要在加密开始之前监控备份访问行为是否异常。”

Gupta 补充，阻碍企业的往往不仅是技术债务，还包括领导层心态。“很多情况下，管理层并不相信基于零信任原则构建的安全优先架构能获得高 ROI。但现实是，这种缺口对业务构成生存威胁。”

两位专家一致认为，未来之路不仅在于购买新技术，而在于重建对恢复的信任——这意味着部署不可变、隔离的备份，保护 API，侦测备份访问异常，并通过贴近实战的演练验证恢复流程的每一个环节。

来源：小顾看科技