發現的頭十分鐘：隔離，拍照，別亂動
第一步是隔離，不是關機，也不是殺毒。把中招的電腦拔掉網線、關閉無線和藍牙，拔下連着的移動硬盤和U盤。如果公司用共享文件夾或文件服務器，立刻讓所有人斷開連接，並暫停電腦上的網盤同步程序——否則被加密的文件會被當成「新版本」同步上去，把雲端的好文件一併覆蓋。如果不確定哪些機器中招，寧可先讓整個辦公室網絡斷開半小時。
第二步是拍照。用手機把勒索頁面、勒索信文件的內容、被加密文件的擴展名、屏幕上顯示的任何聯繫方式和期限拍下來。這些既是報案的材料，也能幫技術人員判斷是哪一類勒索軟件、有沒有公開的解密工具。不要點擊勒索頁面上的任何鏈接或按鈕。
第三步是別亂動。不要格式化重裝，那會把證據和可能的恢復線索一起抹掉；不要反覆重啓，有些勒索軟件每次啓動都會繼續加密剩下的文件；不要自己從網上下載號稱能解密的工具，其中不少本身就是惡意程序；不要用這台電腦登錄網銀、郵箱或任何公司賬號。把這台機器放在一邊，貼上「勿開機勿聯網」的紙條，然後用另一台乾淨的設備開始後面的步驟：通知負責人、修改重要賬號密碼、聯繫技術人員。頭十分鐘只做這三件事，就已經比大多數公司做得好。
接下來兩小時：摸清範圍，重點看備份還活着沒有
勒索事件裏最重要的一個問題是：備份還在不在、乾不乾淨。立刻檢查公司有哪些備份——外接硬盤、另一台電腦、文件服務器的快照、雲端網盤的歷史版本、財務軟件自帶的備份、發給會計或外包商的那一份。檢查時不要把備份盤接到可能中招的機器上；用一台確認乾淨的電腦去看。很多網盤保留文件的歷史版本，即便同步了被加密的文件，也常常可以回滾到之前的版本，這是小公司最常見的救命稻草。
同時清點範圍：哪幾台機器出現了勒索信、哪些共享文件夾裏的文件擴展名變了、財務賬套和客户資料在不在其中、公司郵箱和網銀所在的電腦有沒有受影響。把結果列成一張表：設備、狀態、上面有什麼重要數據、有沒有備份。
然後改密碼。用乾淨的設備，先改企業郵箱，再改網銀和收款工具，再改網盤、財務軟件和各社媒後台。原因是很多勒索攻擊在加密之前已經在系統裏停留過一段時間，可能已經拿到了密碼。順手檢查郵箱有沒有陌生的轉發規則，這類手法和 商務郵件詐騙 是同一撥人常用的。如果公司裏沒有懂技術的人，這個階段就該請外部技術人員了，找正規維修或IT服務商，渠道參考 菲律賓電腦維修與售後渠道；不要把機器交給來歷不明、主動找上門的「數據恢復高手」。
要不要付贖金：不建議付，理由有四條
不建議支付贖金。這不是道德説教，而是基於四個很現實的理由。第一，付了不保證解密：對方是犯罪分子，沒有任何履約義務，給的解密工具可能不好用、只解開一部分，或者乾脆收錢消失。第二，付了會被再勒索：願意付款的受害者會被標記，有的在第一次付款後被要求追加，有的幾個月後再次中招。第三，付了也沒解決根本問題：入侵的口子還在，系統裏可能還留着後門，對方手裏可能還有你的數據副本。
第四，付款本身可能帶來法律和合規上的麻煩：錢流向誰你並不知道，通過加密貨幣向不明對象付款，可能觸及反洗錢和制裁方面的問題，公司賬上也很難解釋這筆支出。所以即便公司內部有人主張「花錢消災」，也應當先完成隔離、確認備份、諮詢技術人員和律師之後再討論，而不是在勒索信的倒計時壓力下當場決定。倒計時是對方的談判手段，不是你的最後期限。
如果對方還威脅「不付錢就公開你的數據」，這就同時是一起數據外泄事件，處理邏輯和一般勒索相同：不談判、留證據、報案，具體可參考 遭遇勒索時的應對與報案流程。同時要評估外泄的數據裏有沒有客户或員工的個人信息，有的話公司可能負有向隱私監管機構和當事人通報的義務，見 客户數據泄露的響應與通報。付不付贖金，都不影響這項通報義務。
怎麼恢復：從乾淨備份重建，而不是在中招的系統上修修補補
恢復的正路是「清乾淨再重建」：把受影響的機器徹底重裝，再從確認乾淨的備份裏把數據導回來。順序不能反。常見的錯誤是在還沒查清入侵途徑時就急着把備份接上去恢復，結果備份盤也被加密；或者只刪掉勒索程序就繼續使用，後門還在，幾周後再來一次。讓技術人員先回答兩個問題：對方是怎麼進來的（釣魚郵件附件、遠程桌面弱密碼、盜版軟件、過期未更新的系統是最常見的幾種），以及這個口子現在堵上了沒有。
恢復的優先級建議是：先恢復讓公司能繼續收錢和發工資的東西——財務賬套、客户訂單、網銀所用的設備；再恢復日常辦公文件；最後才是歷史歸檔。沒有備份的文件，可以讓技術人員查一下是否有針對該類勒索軟件的公開解密工具，這類工具由安全廠商和執法機構發佈，對部分舊的勒索軟件有效，但不要抱太大希望。實在無法恢復的，把加密的文件原樣保存一份，將來若有解密工具出現還有機會。
財務和税務數據丟失還有一層合規後果：公司的賬簿和開票記錄有法定的保存義務，丟了要設法重建，並可能需要向税務機關説明。這時會計手裏的申報底稿、銀行流水、已開具的發票和客户往來就是重建的依據，賬簿的登記與形式要求見 菲律賓賬簿登記全解。恢復期間保留一份工作記錄：哪天重裝了哪台機器、從哪個備份恢復、哪些數據確認丟失。這份記錄在報案、報險和日後説明時都用得上。
報案、報險與通報：三件事分別找誰
勒索軟件攻擊是網絡犯罪，可以向警方的反網絡犯罪部門或國家調查局的網絡犯罪部門報案。帶上：公司註冊文件與授權代表的證件和授權書；勒索頁面和勒索信的照片；事件時間線；受影響設備的清單；如果有的話，對方留下的聯繫方式和收款地址。中招的那台機器如果還沒重裝，告訴辦案人員它被保留着，由他們決定是否需要查看。對結果要有合理預期：這類案件的攻擊者多在境外，立刻破案並不常見，但報案留下的官方記錄，是之後報險、向客户和合作方説明、以及向監管解釋時最有分量的一份文件。
第二件是保險。如果公司買過網絡安全保險，或財產險、營業中斷險裏帶有相關條款，按保單規定的時限通知保險公司，並問清楚是否要求使用指定的技術服務商。在保險公司確認之前，不要自行處置掉可能需要查驗的設備。
第三件是通報。如果被加密或被拷走的數據裏含有客户、員工的個人信息，就要按數據隱私法評估是否構成需要通報的個人數據泄露，這個時限很短。如果公司替別的公司處理數據，還要及時通知委託方。對內也要通知員工：告訴大家發生了什麼、哪些密碼要改、近期要警惕冒充公司的郵件。對外溝通只説事實，不猜測是誰幹的。涉及通報義務和對外聲明的措辭，個案請諮詢執業律師。
以後怎麼不再中招：小公司做得到的五件事，以及易行能做什麼
勒索軟件專挑沒有備份、系統不更新的小公司下手，因為這樣的受害者最容易付錢。防住它不需要大預算，需要的是五個習慣。一，備份要有三份、兩種介質、一份不聯網：比如電腦上一份、網盤一份、每週拔下來鎖進櫃子的移動硬盤一份。不聯網的那一份是勒索軟件碰不到的。二，每個季度真的恢復一次試試，沒驗證過的備份不算備份。三，系統和軟件開自動更新，不用盜版系統和破解軟件，後者是中招的重災區。
四，把遠程訪問關緊：不需要的遠程桌面關掉，需要的加上強密碼和兩步驗證；企業郵箱、網盤、網銀全部開啓兩步驗證。五，教員工認釣魚郵件：陌生附件不開，壓縮包和帶宏的文檔尤其小心，「發票」「快遞」「法院通知」是最常見的誘餌標題。此外給每個人最小夠用的權限，前台的電腦不應該能改寫財務共享文件夾。裝着公司資料的設備丟失是另一種常見的數據事故，處理見 工作電腦或手機被偷後的處置。
易行國際旅行社（SEC 註冊號 CS202009551，菲律賓移民局認證代辦 CA-202624381-1）為在菲中資企業提供 合規託管服務：在事件發生後協助整理報案所需的公司文件和時間線，協助會計重建受影響期間的賬務與申報資料，梳理是否觸發數據隱私通報義務所需的事實材料，並對接執業律師。我們不是網絡安全公司，不做解密、取證或系統重建；這些要交給專業技術人員。個案請諮詢執業律師，本文不構成法律意見。