备份被删除或损坏

「我们有备份」和「我们能恢复」是两件事。在实际应急中，备份失效的原因高度集中，基本逃不出这几类：

第一类：备份目标在攻击者的权限范围内。 备份写在生产服务器可写的 SMB 共享、NAS 共享或同一台主机的另一个分区上。加密器枚举网络共享时沿着写权限一路加密，备份文件自然在覆盖范围内。这是最常见的原因，没有之一。

第二类：备份凭据被窃取。 备份服务器加入生产域、使用域管理员账号运行作业，域控沦陷时备份体系一并失守。更进一步，公开报告显示已有勒索组织利用备份软件自身的漏洞获取凭据——例如 Veeam Backup & Replication 的凭据泄露类漏洞（CVE-2023-27532），攻击者可在未授权情况下从配置数据库中取出加密凭据并解密，用于横向移动。备份软件本身也是攻击面。

第三类：备份同步把加密文件带走了。 这是很多单位的痛点：NAS 或云盘配置的是「同步」而不是「版本化备份」，加密发生后同步任务尽职尽责地把加密后的文件推到异地，把唯一的好副本覆盖掉。同步不是备份——没有版本保留的同步，在勒索场景下几乎等于没有备份。

第四类：卷影副本被清除。 几乎所有主流家族都会执行删除卷影的操作，这一步通常在加密前完成，因此不要把 VSS 当作依靠。

第五类：备份从未被验证过。 作业显示成功、备份文件也在，但从未做过真实还原，直到需要时才发现备份链断裂、版本不完整或数据不可读。

误操作提醒：不要在发现备份失效后立即删除加密的备份文件腾空间，它们可能只被加密了文件头，仍有修复价值；也不要覆盖性地重新初始化备份仓库。我们不建议支付赎金，也不提供代谈判服务。

• 3-2-1-1 是底线，不是理想值。 三份副本、两种介质、一份异地，至少一份离线或不可变。最后这个「1」是勒索场景下唯一确定有效的那一份。
• 备份目标绝不能被生产侧写入。 不要把备份写到生产服务器可写的 SMB 共享或 NAS 共享；使用专用备份主机、独立存储、对象锁定的云桶或磁带。
• 备份体系与生产解耦。 备份服务器不加入生产域，使用独立本地账号与强口令并开启多因素认证，备份网络与生产网络分离；域控沦陷不应导致备份体系同时失守。
• 备份软件本身要打补丁。 公开报告显示勒索组织曾利用备份平台的凭据泄露类漏洞（如 Veeam 的 CVE-2023-27532）获取环境凭据进行横向移动；管理端口不对外开放，版本保持受支持状态。
• 同步不是备份。 云盘同步、NAS 实时同步在勒索场景下会把加密文件推向异地；必须使用带版本保留的备份，并设置足够长的版本保留期。
• 备份要验证，而且要真实还原。 每季度抽取不同类型的数据做完整还原演练并记录实际 RTO / RPO；定期做备份文件一致性校验，不要只看作业成功率。
• 监控备份体系的异常行为。 对备份作业被禁用、保留策略被改短、仓库被删除、大量恢复点消失、备份账号异常登录设置告警——这些常常是加密开始前的最后信号。
• 对关键系统保留一份「冷启动包」。 系统镜像、配置文档、许可证、密钥与证书离线保存一份，避免恢复时被卡在环境重建上。