这不是故事。这是上周朝阳一家做医疗器械的陈总找我时说的一句话——"老贺，我公司去年一年没出过事，应该没事吧？" 我让他打开一台电脑，看了三分钟，他的脸就白了。

一、老板最容易踩的一个坑：没出事 = 干净

我跟一个做了十几年生意的老板聊天，他跟我说：「老贺，我们公司 3 年没出过事，应该算安全吧？」

我直接问了他 3 个问题：

1. 你公司哪台电脑最晚上锁？
2. 离职员工的账号，你多久删一次？
3. 上个月勒索病毒全球每天攻击多少家公司，你知道吗？

3 个问题他一个都答不上来。

我跟他说：3 年没出事 ≠ 3 年没被盯上。勒索病毒在加密你电脑之前，平均要在一个公司「安静」地待 87 天。这 87 天里它在干嘛？它在找你的备份在哪、你的财务数据在哪、你老板的电脑密码是什么。

FBI 互联网犯罪投诉中心 2023 年的数据：美国一年接到两千一百零四份勒索投诉，平均每天 5.7 起，同比涨了 18%。这不是新闻里才会出现的事——它天天在发生，只是绝大多数公司「中招了还不知道」。

📊 数据 callout：

• 勒索病毒平均潜伏期 87 天（来源：CISA 美国网安与基础设施安全局公开报告）
• FBI 一年接到 2104 起勒索投诉（来源：IC3 2023 年度报告）
• 中小企业被勒索后能完全恢复的 不到 30%（来源：Sophos 2024 中小企业勒索现状报告）

老板们，这 5 个迹象，对照看看你公司中了几个。

二、迹象 1：财务或行政的电脑里，冒出来一些奇怪的 Excel

这个迹象 80% 的老板都没想到。

勒索病毒进到你公司之后，第一件事不是加密——它要先「安家」。它会先看一下你这台电脑里有什么值钱的东西。值钱的是啥？财务账、合同、客户名单、人事工资表。

它怎么找？它会先在 Excel 文件夹里藏一个小程序，名义上叫「2026 年薪资汇总」「客户对账单」之类，文件名看起来很正常，但图标有点小、文件大小有点怪。

真实案例：通州一家做建材的张总，去年找我时打开一台财务电脑，桌面上有 3 个 Excel：一个叫「5 月对账」、一个叫「2026 薪资」、一个叫「合同备份 v2」。张总说："这三个我都点开过，没问题啊。" 我看了一下文件属性——3 个文件创建时间都是凌晨 2 点到 4 点，张总公司的行政 9 点才上班。这三个文件是勒索病毒自己生成的。

✅ 老板自查动作：

• 打开员工电脑，让 IT 看一眼「最近 7 天新建的 Excel / Word / PDF」
• 看创建时间——凌晨 2 点到 5 点的文件 = 100% 有问题
• 看文件大小——10KB 以下的 .xlsx = 90% 有问题

三、迹象 2：员工说「电脑变慢了」，但 IT 查不出原因

这个迹象更隐蔽。

勒索病毒潜伏期，它不会加密（加密了就暴露了），但它会做几件事：偷偷上传你的数据到云端、偷偷加密你看不见的备份、偷偷给你的老板电脑装一个「远程键盘记录器」。这些动作都要占 CPU、占网络。

老板们的本能反应是："让 IT 重装一下系统就好了。"

错。重装系统只是把表面清掉了。真正潜伏的病毒，已经藏在你的备份盘、你的云盘、你的 OA 系统里了。等你以为修好了，它 3 个月后再跳出来加密，那时候你更惨。

真实故事：朝阳陈总去年找我时说，他公司有个财务大姐抱怨电脑变慢了 3 个月，每次 IT 重装过 2 周又变慢。我让 IT 不要重装，先把系统日志导出来——一看，每天凌晨 3 点到 4 点，有一段约 800MB 的数据往外传。传去哪？俄罗斯一个 IP 段。这台电脑已经被勒索病毒「养」了 87 天。

✅ 老板自查动作：

• 公司里如果有人反映「电脑变慢」「Excel 打开慢」「PDF 打不开」超过 1 个月，立刻让 IT 查系统日志
• 看 凌晨 2 点到 6 点的网络流量——正常公司这个时段应该是几乎为 0
• 看「外发流量 top 10 的 IP」——不认识的境外 IP = 危险信号

四、迹象 3：老板自己的电脑里有个小图标，「公司云盘」「在线文档」之类

这个迹象 90% 老板都没察觉。

勒索病毒潜伏期，它要在你老板电脑里装一个「长期通道」。怎么装？它会伪装成一个「云盘客户端」「在线文档工具」「PDF 阅读器」之类的小图标，图标做得跟真的几乎一模一样。

老板们不会自己装这些——员工电脑被入侵之后，会顺着域控权限爬到老板电脑。

怎么识别：老板打开「控制面板 → 程序和功能」，按安装日期排序，看最近 30 天有没有装了什么「你从来没主动下载过的东西」——尤其是英文名、装在 C:\Program Files 里的、你看不懂是干嘛的。

✅ 老板自查动作（5 分钟就能做完）：

1. 打开「控制面板 → 程序和功能」
2. 按「安装日期」排序
3. 看最近 30 天——找你没主动下载过的程序
4. 看不懂的 → 拍个照发给 IT

五、迹象 4：离职员工的账号，过了 30 天还没删

这个最简单，但 70% 公司都中招。

勒索病毒一旦进了你的网络，它会找两样东西：

• 一是长期不用的员工账号（特别是离职员工留下的）—— 这种账号没人用、密码不改，IT 也忘了删
• 二是有管理员权限的账号—— 谁手里有「超级密码」，它就重点盯

老板以为：「人都走了，账号有啥用？」——错得很离谱。一个离职 6 个月的财务账号，就是勒索病毒的「长期潜伏床位」。

真实案例：去年我们帮一家 80 人的电商公司做安全体检，发现他们的域控里有 37 个长期没用的账号——最早一个是 2019 年离职员工的。其中 5 个账号在凌晨 2 点到 4 点有过登录——不是员工登录，是勒索病毒在用。

✅ 老板自查动作（今天就能做）：

1. 让 IT 导一份「最近 90 天没登录过的账号清单」
2. 凡是超过 30 天没用的员工账号 → 立刻停用
3. 凡是离职员工的账号 → 一律删掉，别留着「备用」
4. 凡是标着「管理员」「admin」的账号 → 改成「按需分配」，不要常开

六、迹象 5：你的备份盘，每天晚上都跟公司电脑连着

这是最反常识的一个——也是老板花最多冤枉钱的一个。

老板们最常问：「老贺，我买了备份盘了，是不是就安全了？」

我每次都说：你买了备份盘，等于没买。

为什么？因为 90% 中小企业的备份盘，是这样放的：

备份盘放在 IT 办公室的桌上，每天晚上 11 点 IT 下班时，自动备份软件会把公司服务器的数据同步到这块盘上。备份完之后，盘还接着电脑，没断电、没断网。

勒索病毒一旦进到公司，它会做的第一件事是顺着网线找到你的备份盘，把备份盘里的数据也加密了。等你出事想恢复，发现备份盘也被锁了。

这个坑我见了 100 次，至少踩了 95 次。

真实数据：Sophos 2024 年的《中小企业勒索现状》报告——使用被感染备份恢复数据的中小企业高达 94%。也就是说，100 家里有 94 家老板的「备份盘」其实是「勒索病毒的复制盘」。

✅ 老板自查动作（今天必须做的 1 件事）：

1. 看你的备份盘——是不是每天都跟公司电脑连着？
2. 如果答案是「是」——立刻断掉
3. 正确做法：3-2-1 备份——3 份数据、2 种介质、1 份离线（物理断网）
4. 备份盘备份完之后 → 立刻拔网线、拔电源、放进保险柜（这一条最反常识，但最重要）

七、老板读这一段该怎么做决定

这 5 个迹象，你公司中了几个？

🚨 如果中了 1 个：今天就让 IT 按上面 5 个自查动作走一遍，1 天就能查完

🚨 如果中了 2-3 个：立刻安排一次专业体检——别找那种只会卖防火墙的安全公司，要找能帮你实际查日志、查流量、查账号的安全外包

🚨 如果中了 4-5 个：恭喜你公司「还没出事」只是运气——建议你立刻做一次全盘重装 + 备份盘隔离 + 域控重做，这是被勒索之前的最后窗口期

我跟一个 30 人律所老板说过一句话："勒索病毒不是会不会来的问题，是什么时候来的问题。"

我们帮朝阳陈总做完这一轮排查，他在 IT 那一台「养了 87 天」病毒的电脑上发现了 1.2GB 的数据外发痕迹——里面包括他公司的全部客户合同、3 年的财务账本、人事工资表。他看完汗就下来了。

老板，3 年没出事 ≠ 3 年没被盯上。你今天回去问 IT 一句话："咱们公司最近 30 天有没有凌晨 2 点到 6 点的网络流量？"

如果 IT 答不上来——你应该知道下一步怎么做了。

​

阅读原文：https://mp.weixin.qq.com/s/b0XOtPLQ9m4pBEMd8iL56g