制造业ERP成勒索靶标

正文（公众号 / 知乎版）

72小时，5家企业沦陷

2026年7月，一个叫"Sorry"的勒索病毒家族在72小时内连续攻破了5家国内企业，窃取1.8TB数据。几乎同一时间，LockBit Black的变种也盯上了制造业ERP系统——常州某制造集团的用友U9和苏州某科技公司的金蝶云星空相继沦陷。

这不是偶然。制造业正在成为勒索攻击的头号靶标。

原因很简单：制造业的ERP、MES、文件共享系统里装着企业最值钱的数据——客户订单、工艺参数、设计图纸、生产排期。一旦加密，产线停摆，每分钟的损失都以万元计。

更可怕的是，很多企业以为"我有备份"，直到被攻击的那一刻才发现——备份也救不了你。

4个真实案例：备份是怎么失守的

案例一：Oracle+MES全面瘫痪，24小时才恢复

山东某科技公司，6月遭BRZ勒索攻击。黑客通过RDP弱口令进入内网，横向渗透后同时加密了Oracle数据库、文件共享服务器、CRM和MES系统。产线全面停工。

备份为什么没救？ 备份服务器和业务系统在同一网段，使用相同的Administrator权限。黑客拿到域管理员权限后，先删备份Storage Pool，再加密生产数据——备份成了陪葬品。

最终靠外部技术团队24小时紧急恢复，但产线停工造成的损失已经产生。

案例二：ERP数据库280GB被加密，备份滞后3个月

厦门某制造企业，7月遭.eight勒索。攻击者同样通过RDP暴力破解进入，直接加密ERP数据库280GB，勒索15个比特币。

备份为什么没救？ 备份策略形同虚设——最近一次完整备份是3个月前。即使愿意付赎金，3个月的数据缺口也无法接受。恢复过程异常艰难，大量业务数据永久丢失。

案例三：付了赎金，文件还是坏的

上海某医疗器械企业，4月遭Sorry勒索。金蝶云星空ERP被加密，企业在绝望中支付了赎金。

备份为什么没救？ 根本没有独立备份。付完赎金拿到解密工具后发现——大量文件在加密过程中已损坏，解密后仍然无法使用。Sorry家族采用无文件攻击+多层加密，每段使用不同密钥片段，通用解密工具全部失效。

案例四：专门攻击NAS设备的勒索病毒

苏州某精密制造公司，5月遭Encrypted勒索。该病毒此前已大量攻击NAS设备，有多起"付赎金仍无法解密"的欺诈记录。

备份为什么没救？ 企业所有设计图纸只存在NAS上，没有异地副本，没有不可变备份。NAS被加密后，数年的工艺图纸和设计文件全部丢失。

共同特征：4个案例指向同一个漏洞

把4个案例放在一起看，攻击路径惊人地一致：

第一步：RDP弱口令 / 钓鱼邮件 → 拿到内网入口
第二步：横向渗透 → 获取域管理员权限
第三步：先删备份 → 再加密生产数据
第四步：双向勒索 → 加密+数据窃取

关键发现：94%的勒索攻击会试图先破坏备份，超过半数得手。

为什么备份也成了靶子？因为大多数企业的备份存在三个致命问题：

一句话总结：有备份≠能恢复，能恢复≠恢复了才知道。

3-2-1-1-0：勒索时代的备份新底线

传统的"3-2-1备份"（3份副本/2种介质/1份异地）已经不够了。面对会主动攻击备份的勒索病毒，业界提出了升级版原则——3-2-1-1-0：

其中，第4个"1"（不可变备份）和第5个"0"（恢复验证）是传统方案最缺的环节。

不可变备份为什么关键？ 不可变（WORM）存储一旦写入，在设定保留期内任何人都无法修改或删除——包括管理员。即使黑客拿到最高权限，也只能看着备份干瞪眼。数据显示，部署不可变备份后，恢复成功率从60%提升到95%，1TB数据恢复时间从4-12小时缩短到2小时以内。

恢复验证为什么关键？ 某企业50个"成功"备份随机抽查恢复，11个文件损坏或索引错误。不验证=不确认，灾难来临时才发现备份是坏的，为时已晚。

标杆实践：某电子科技集团如何做到勒索防范100%

看完了失败案例，再看看成功案例。某深圳上市电子科技集团（多部门/多产线/百万级文件），面对同样的勒索威胁，做到了勒索防范成功率100%。他们的方案值得拆解：

第一层：存储分层，性能与安全兼顾

• 办公非结构化文档存入大容量NAS，日常文件共享和协作
• 研发高频IO使用全闪存存储，编译速度提升5-10倍
• AOI质检数据使用WORM不可变技术，满足10年合规留存

第二层：快照+不可变，对付勒索的终极武器

• 定时快照：按小时/天自动创建快照，误删恢复从4小时缩短到5分钟
• 不可变快照：关键数据快照设为不可变，勒索病毒无法删除或篡改
• 快照复制：异地副本同步，本地被攻破也有后手

第三层：日志审计+权限管控

• 全操作日志留存，任何文件的访问/修改/删除可追溯
• 细粒度权限管控，最小权限原则，减少横向移动面

结果数据：编译速度提升5-10倍；大容量文件库全文检索；AOI质检数据满足10年合规；勒索防范成功率100%；误删恢复4小时→5分钟；年省IT运维30万+。

你的企业该怎么做：3步自查清单

如果你是制造企业的IT负责人或老板，花5分钟回答这3个问题：

1. 你的备份和业务系统在同一个网段吗？

• 如果是→备份在黑客的攻击范围内，必须做网络隔离
• 如果不确定→大概率是同一个网段

2. 你有不可变（WORM）备份吗？

• 如果没有→备份可被篡改删除，面对勒索病毒等于裸奔
• 如果有但和普通备份在同一VLAN→攻击者通过跳板机仍可删除

3. 你上一次做恢复测试是什么时候？

• 如果超过3个月→你不知道备份是否真的能恢复
• 如果从来没做过→你的"备份成功"可能只是假象

我们能做什么

如果你的企业正在面临这些问题，我们可以帮你：

第一步：免费备份健康度诊断

• 检查备份架构是否存在同网段风险
• 评估是否有不可变备份能力
• 验证现有备份是否可恢复

第二步：3-2-1-1-0架构规划

• 基于企业实际环境设计备份分层方案
• 存储设备选型（支持不可变快照、异地复制）
• 网络隔离规划，备份独立VLAN

第三步：落地实施

• 信创云盘部署：文件集中管理+文件级细粒度权限+文件不落地+操作日志审计
• 存储设备部署：支持不可变快照防篡改、3-2-1异地复制、定时自动备份
• 恢复演练：定期验证备份可用性，确保灾难来真正能恢复

我们帮多家制造企业落地过类似方案。如果你也在为备份和勒索防护头疼，可以聊聊——先诊断，不收费。