发现的头十分钟：隔离，拍照，别乱动
第一步是隔离，不是关机，也不是杀毒。把中招的电脑拔掉网线、关闭无线和蓝牙，拔下连着的移动硬盘和U盘。如果公司用共享文件夹或文件服务器，立刻让所有人断开连接，并暂停电脑上的网盘同步程序——否则被加密的文件会被当成「新版本」同步上去，把云端的好文件一并覆盖。如果不确定哪些机器中招，宁可先让整个办公室网络断开半小时。
第二步是拍照。用手机把勒索页面、勒索信文件的内容、被加密文件的扩展名、屏幕上显示的任何联系方式和期限拍下来。这些既是报案的材料，也能帮技术人员判断是哪一类勒索软件、有没有公开的解密工具。不要点击勒索页面上的任何链接或按钮。
第三步是别乱动。不要格式化重装，那会把证据和可能的恢复线索一起抹掉；不要反复重启，有些勒索软件每次启动都会继续加密剩下的文件；不要自己从网上下载号称能解密的工具，其中不少本身就是恶意程序；不要用这台电脑登录网银、邮箱或任何公司账号。把这台机器放在一边，贴上「勿开机勿联网」的纸条，然后用另一台干净的设备开始后面的步骤：通知负责人、修改重要账号密码、联系技术人员。头十分钟只做这三件事，就已经比大多数公司做得好。
接下来两小时：摸清范围，重点看备份还活着没有
勒索事件里最重要的一个问题是：备份还在不在、干不干净。立刻检查公司有哪些备份——外接硬盘、另一台电脑、文件服务器的快照、云端网盘的历史版本、财务软件自带的备份、发给会计或外包商的那一份。检查时不要把备份盘接到可能中招的机器上；用一台确认干净的电脑去看。很多网盘保留文件的历史版本，即便同步了被加密的文件，也常常可以回滚到之前的版本，这是小公司最常见的救命稻草。
同时清点范围：哪几台机器出现了勒索信、哪些共享文件夹里的文件扩展名变了、财务账套和客户资料在不在其中、公司邮箱和网银所在的电脑有没有受影响。把结果列成一张表：设备、状态、上面有什么重要数据、有没有备份。
然后改密码。用干净的设备，先改企业邮箱，再改网银和收款工具，再改网盘、财务软件和各社媒后台。原因是很多勒索攻击在加密之前已经在系统里停留过一段时间，可能已经拿到了密码。顺手检查邮箱有没有陌生的转发规则，这类手法和 商务邮件诈骗 是同一拨人常用的。如果公司里没有懂技术的人，这个阶段就该请外部技术人员了，找正规维修或IT服务商，渠道参考 菲律宾电脑维修与售后渠道；不要把机器交给来历不明、主动找上门的「数据恢复高手」。
要不要付赎金：不建议付，理由有四条
不建议支付赎金。这不是道德说教，而是基于四个很现实的理由。第一，付了不保证解密：对方是犯罪分子，没有任何履约义务，给的解密工具可能不好用、只解开一部分，或者干脆收钱消失。第二，付了会被再勒索：愿意付款的受害者会被标记，有的在第一次付款后被要求追加，有的几个月后再次中招。第三，付了也没解决根本问题：入侵的口子还在，系统里可能还留着后门，对方手里可能还有你的数据副本。
第四，付款本身可能带来法律和合规上的麻烦：钱流向谁你并不知道，通过加密货币向不明对象付款，可能触及反洗钱和制裁方面的问题，公司账上也很难解释这笔支出。所以即便公司内部有人主张「花钱消灾」，也应当先完成隔离、确认备份、咨询技术人员和律师之后再讨论，而不是在勒索信的倒计时压力下当场决定。倒计时是对方的谈判手段，不是你的最后期限。
如果对方还威胁「不付钱就公开你的数据」，这就同时是一起数据外泄事件，处理逻辑和一般勒索相同：不谈判、留证据、报案，具体可参考 遭遇勒索时的应对与报案流程。同时要评估外泄的数据里有没有客户或员工的个人信息，有的话公司可能负有向隐私监管机构和当事人通报的义务，见 客户数据泄露的响应与通报。付不付赎金，都不影响这项通报义务。
怎么恢复：从干净备份重建，而不是在中招的系统上修修补补
恢复的正路是「清干净再重建」：把受影响的机器彻底重装，再从确认干净的备份里把数据导回来。顺序不能反。常见的错误是在还没查清入侵途径时就急着把备份接上去恢复，结果备份盘也被加密；或者只删掉勒索程序就继续使用，后门还在，几周后再来一次。让技术人员先回答两个问题：对方是怎么进来的（钓鱼邮件附件、远程桌面弱密码、盗版软件、过期未更新的系统是最常见的几种），以及这个口子现在堵上了没有。
恢复的优先级建议是：先恢复让公司能继续收钱和发工资的东西——财务账套、客户订单、网银所用的设备；再恢复日常办公文件；最后才是历史归档。没有备份的文件，可以让技术人员查一下是否有针对该类勒索软件的公开解密工具，这类工具由安全厂商和执法机构发布，对部分旧的勒索软件有效，但不要抱太大希望。实在无法恢复的，把加密的文件原样保存一份，将来若有解密工具出现还有机会。
财务和税务数据丢失还有一层合规后果：公司的账簿和开票记录有法定的保存义务，丢了要设法重建，并可能需要向税务机关说明。这时会计手里的申报底稿、银行流水、已开具的发票和客户往来就是重建的依据，账簿的登记与形式要求见 菲律宾账簿登记全解。恢复期间保留一份工作记录：哪天重装了哪台机器、从哪个备份恢复、哪些数据确认丢失。这份记录在报案、报险和日后说明时都用得上。
报案、报险与通报：三件事分别找谁
勒索软件攻击是网络犯罪，可以向警方的反网络犯罪部门或国家调查局的网络犯罪部门报案。带上：公司注册文件与授权代表的证件和授权书；勒索页面和勒索信的照片；事件时间线；受影响设备的清单；如果有的话，对方留下的联系方式和收款地址。中招的那台机器如果还没重装，告诉办案人员它被保留着，由他们决定是否需要查看。对结果要有合理预期：这类案件的攻击者多在境外，立刻破案并不常见，但报案留下的官方记录，是之后报险、向客户和合作方说明、以及向监管解释时最有分量的一份文件。
第二件是保险。如果公司买过网络安全保险，或财产险、营业中断险里带有相关条款，按保单规定的时限通知保险公司，并问清楚是否要求使用指定的技术服务商。在保险公司确认之前，不要自行处置掉可能需要查验的设备。
第三件是通报。如果被加密或被拷走的数据里含有客户、员工的个人信息，就要按数据隐私法评估是否构成需要通报的个人数据泄露，这个时限很短。如果公司替别的公司处理数据，还要及时通知委托方。对内也要通知员工：告诉大家发生了什么、哪些密码要改、近期要警惕冒充公司的邮件。对外沟通只说事实，不猜测是谁干的。涉及通报义务和对外声明的措辞，个案请咨询执业律师。
以后怎么不再中招：小公司做得到的五件事，以及易行能做什么
勒索软件专挑没有备份、系统不更新的小公司下手，因为这样的受害者最容易付钱。防住它不需要大预算，需要的是五个习惯。一，备份要有三份、两种介质、一份不联网：比如电脑上一份、网盘一份、每周拔下来锁进柜子的移动硬盘一份。不联网的那一份是勒索软件碰不到的。二，每个季度真的恢复一次试试，没验证过的备份不算备份。三，系统和软件开自动更新，不用盗版系统和破解软件，后者是中招的重灾区。
四，把远程访问关紧：不需要的远程桌面关掉，需要的加上强密码和两步验证；企业邮箱、网盘、网银全部开启两步验证。五，教员工认钓鱼邮件：陌生附件不开，压缩包和带宏的文档尤其小心，「发票」「快递」「法院通知」是最常见的诱饵标题。此外给每个人最小够用的权限，前台的电脑不应该能改写财务共享文件夹。装着公司资料的设备丢失是另一种常见的数据事故，处理见 工作电脑或手机被偷后的处置。
易行国际旅行社（SEC 注册号 CS202009551，菲律宾移民局认证代办 CA-202624381-1）为在菲中资企业提供 合规托管服务：在事件发生后协助整理报案所需的公司文件和时间线，协助会计重建受影响期间的账务与申报资料，梳理是否触发数据隐私通报义务所需的事实材料，并对接执业律师。我们不是网络安全公司，不做解密、取证或系统重建；这些要交给专业技术人员。个案请咨询执业律师，本文不构成法律意见。