VPN 与勒索软件：现实中能有什么防护？

勒索软件的商业模式简单而丑陋：加密电脑或服务器上的文件，再以付钱换密钥相要挟。听到这些，许多人会问，VPN 能不能提前防住。答案几乎总是否定的，而且值得弄清原因，因为这个问题背后藏着一个更有用的问题：现实中对勒索软件能做哪些防护，VPN 又处在什么位置？

本文看勒索软件攻击是如何开始的，VPN 与这件事的少数交汇点，企业远程访问 VPN 反而可能成为入口这一出人意料的情形，以及真正决定结果的备份与账号习惯。如果想先了解 VPN 总体上不覆盖什么，请看 VPN 无法保护你的哪些方面。

勒索软件攻击通常如何开始

勒索软件不会从网线里冒出来，它需要在你或你所在机构控制的设备上运行。常见的起点有：

• 恶意邮件附件或链接。 看起来像发票、快递通知或求职申请的文档、压缩包或链接。打开之后启动一连串动作，最终以加密程序收场。
• 被盗或被猜出的密码。 攻击者用别处泄露的密码或猜出的密码登录远程桌面、邮箱或公司系统，然后亲自安装勒索软件。
• 对外暴露的远程访问服务。 远程桌面或管理服务可被整个互联网访问的电脑或服务器，会被持续扫描和攻击。
• 未修补的漏洞。 过期的操作系统、文件共享服务、浏览器或网络设备存在已知漏洞，被自动化工具利用。
• 假冒或被篡改的下载。 破解软件和被修改过的安装包，有时直接投放勒索软件。
• 被攻陷的供应商或工具。 一个受信任的程序或服务被篡改，把问题传给它的客户。

看看它们的共同点：决定性的时刻是一次轻率的点击、一个弱口令或重复使用的登录、一项开放的服务，以及缺失的一次更新。没有哪一条是某个人在咖啡馆里偷看你的 Wi-Fi 流量。这就是为什么保护途中流量的个人 VPN 不是主要答案。

在这件事里，VPN 是什么、不是什么

VPN 加密你的设备与 VPN 服务器之间的连接，中间网络上的人无法读取或篡改你发送的内容。这对共享 Wi-Fi 上的隐私很有价值，FTC 在公共 Wi-Fi 网络的指南中也有说明。但勒索软件是已经进入你设备之后运行的程序，到了那一步，连接就已经无关紧要了。

要精确地知道 VPN 不做的三件事。

1. 它不会阻止程序运行。 如果你打开了有毒的附件，不管隧道是否开着，程序都会运行。
2. 它不会检测或清除勒索软件。 这是安全软件和操作系统自带防护的工作。VPN、杀毒软件与防火墙的区别一文说明了各自分工。
3. 它不会恢复你的文件。 只有备份可以。

所以诚实的立场是：个人 VPN 不是勒索软件的防线。它可以是一套整洁的隐私习惯中合理的一环，但不该成为你投入防护预算或注意力的重点。

VPN 真正可能重要的地方：企业远程访问

对公司和小型办公室来说，VPN 以另一种方式进入勒索软件的故事，这也是最值得理解的一点。许多机构用 VPN 让员工在家访问内部系统。那个 VPN 就是通向公司网络的一扇门，门可以锁得好，也可以锁得差。

配置	勒索软件风险	原因
远程桌面直接暴露在互联网上	高	攻击者整天扫描，并猜测或复用密码
通过密码强度高且有第二重验证的 VPN 访问	较低	服务不是容易下手的目标，仅有被盗密码不够
只有单一密码、没有第二重验证的 VPN	中到高	泄露的密码就给了攻击者一条路
未更新的 VPN 设备或软件	高	远程访问网关的已知漏洞被广泛针对
接入的员工设备不受管理或已被感染	中到高	被感染的笔记本可以通过隧道把问题带进来

简单说，VPN 的安全程度取决于它的登录保护、更新状况，以及通过它接入的设备是否健康。把有风险的服务挪到一个运维良好且有双重验证的 VPN 后面，通常会降低风险；而把 VPN 当成一扇神奇的安全门，认为门后的一切都值得信任，就不会有这个效果。这也是零信任等现代思路背后的想法：光有连接，从来不算信任的证明。NIST 关于远程办公与远程访问安全的出版物介绍了面向机构的原则，零信任架构指南则更深入。如果你负责一个团队，也请读 远程办公该选什么 VPN。

真正承担分量的防护

要现实地降低勒索软件风险，按下面的顺序投入精力。

1. 能经受住攻击的备份

这是最重要的单项措施。一个好的备份方案遵循简单的模式：

• 重要文件保留至少三份：原件加两份备份。
• 存放在两种不同的介质上，比如移动硬盘加云服务。
• 一份离线或带版本保护，让被感染的电脑无法覆盖或加密它。一整天插着的硬盘，可能和其他东西一起被加密。
• 每隔几个月测试一次恢复。从没恢复过的备份只是希望，不是计划。

2. 更新

为操作系统、浏览器、办公软件，以及路由器等网络设备开启自动更新。许多勒索软件行动利用的是早就修复的漏洞。

3. 登录保护

使用唯一的密码，并为邮箱、云存储和所有远程访问开启双重验证。美国机构 CISA 在 More than a Password 中解释了为什么这很重要，我们的双重验证指南则说明如何设置。

4. 谨慎对待邮件和下载

核对发件人，对催促打开的附件保持怀疑，只从官方渠道下载软件。CISA 关于识别和举报钓鱼的页面是很好的参考。

5. 限制单个账号能触及的范围

日常工作使用标准用户账号，而不是管理员账号。如果勒索软件在受限账号下运行，它能加密的文件更少，扩散得也更近。

6. 安全软件

保持操作系统内置防护开启，或使用信誉良好的杀毒软件。这些工具能拦截已知的勒索软件家族和可疑行为，尽管没有任何工具能抓住一切。

三个现实场景

一台家用笔记本。 陈家共用一台笔记本，里面有照片、孩子的学习资料和报税文件。父母有时用咖啡馆 Wi-Fi 并开着 VPN，这是合理的。但他们真正的勒索软件应对计划，是每个周日才接上的移动硬盘用来复制照片，外加一个存放文档的云文件夹。万一哪天坏附件锁住了笔记本，他们会从没有插着的那份副本恢复。VPN 不是这次救援的一部分。

五人设计工作室。 工作室有一台小型文件服务器，员工有时在家办公。他们以前让远程桌面能从互联网访问。顾问把访问挪到 VPN 之后，要求每个人都有第二重验证，把更新设为自动，并增加夜间备份到一个备份后即断开的硬盘。这里 VPN 确实起了作用，但只是与周围的登录保护、更新和备份配合之后。

经常出差的自由职业者。 阿诺在火车上和酒店里用 VPN。有一天，他打开了一位客户发来的附件，而那位客户其实已经被黑。他的笔记本开始加密文件。VPN 帮不上忙。有用的是，他的文档同步到带版本历史的云存储，于是他清空笔记本，恢复了文件的早期版本。

一个晚上就能完成的准备清单

你不需要安全团队就能改善自己的处境。留出一个晚上，按顺序过一遍这份清单。

1. 列出你绝对不能丢的文件：家庭照片、文档、工作项目、账务文件。
2. 弄清它们现在各放在哪里：某一台笔记本、手机、云文件夹还是共享盘。
3. 在移动硬盘上做第二份副本，然后断开硬盘收起来。
4. 在你使用的云存储中开启版本历史，这样出现错误改动后可以恢复文件的早期版本。
5. 为每台电脑和手机开启自动更新，并立刻安装待处理的更新。
6. 先为邮箱开启双重验证，因为邮箱能重置其他所有密码。
7. 检查路由器：修改默认管理员密码，并安装可用的固件更新。
8. 把日常账号切换为标准用户，管理员登录只在安装软件时使用。
9. 在纸上写下电脑被锁时你会联系谁：懂电脑的朋友、本地维修店，或公司的 IT 联系人。
10. 在日历里标注三个月后的日期，从每份备份中恢复一个文件作为测试。

请注意，清单里没有一项涉及 VPN。如果你出行或使用公共 Wi-Fi 时也用 VPN，之后再把它作为独立的隐私习惯加上去。对小企业来说，再加两条：撤掉任何对整个互联网开放的远程访问服务，并要求每一次远程登录都有第二重验证。

如果勒索软件已经发作

这是一般性信息，不是专业的应急响应，但有几个步骤被广泛推荐。

1. 立即断开设备与 Wi-Fi 和网线的连接，限制扩散。
2. 在弄清状况之前，不要接上备份盘或开启其他设备。
3. 记录你看到的内容，比如勒索信息和文件名变化，并拍下屏幕。
4. 联系 IT 支持或可信赖的专业人员。 企业应启动应急预案。
5. 考虑向所在国家的网络安全或警方机构报告，他们可能有指导或恢复资源。
6. 从干净的设备上修改密码，先从邮箱和重要账号开始。
7. 只在设备清理或重装之后，才从干净的备份恢复。

是否付款或谈判是重大决定，最好在专业意见和当地指引下作出。本文任何部分都不构成法律建议。

常见错误

• 以为 VPN 保护设备上的文件。
• 唯一的一份备份放在一直插着的硬盘上。
• 从不测试恢复。
• 把远程桌面暴露给整个互联网。
• 企业 VPN 只有单一密码，且从不更新。
• 日常工作使用管理员账号。
• 因为发件人名字眼熟就打开附件。
• 以为小家庭和小企业太小，不会成为目标。

小结

VPN 不能阻止勒索软件，因为勒索软件运行在你的设备上，而 VPN 保护的是途中的流量。VPN 真正重要的地方是企业的远程访问，防护不佳的 VPN 或暴露的远程桌面可能成为入口。现实的防护是：被感染的电脑碰不到的备份、自动更新、唯一密码加双重验证、谨慎处理邮件和下载、受限的账号权限，以及可靠的安全软件。个人 VPN 就用在它擅长的地方，也就是你无法控制的网络上的隐私。

如果这样的隐私层适合你的出行或共用 Wi-Fi，可以在准备好时到价格页面看看。