Proofpoint于2026年7月发布的一份报告显示，在其调查的953家公司中，超过三分之一的赎金支付者随后又收到第二次勒索要求。这里的“二次勒索”不等于攻击者一定再次攻入系统，也不意味着所有付款企业都会重复受害。它至少说明，第一次付款并没有让勒索关系可靠地结束。
企业支付赎金，往往是为了尽快恢复业务、阻止数据公开，或者争取处理客户通知和监管沟通的时间。但攻击者手中的数据可以无限复制，也可能被转卖给其他团伙。企业能确认钱已经转出，却很难确认所有数据副本都已删除。勒索软件由此从一次性事故，变成了可能持续数月甚至更久的经营风险。
Proofpoint：超三成付款企业收到第二次勒索要求
Proofpoint调查了953家公司。报告给出的关键结果是：超过三分之一的付款企业后来又收到勒索要求。
这个比例不能直接外推为全球勒索事件的精确发生率。现有材料也没有完整交代样本的地区构成、行业分布，以及“第二次勒索”是否包括原团伙加价、附属攻击者另行索款或其他团伙持有数据后再度施压。不同定义会影响统计结果。
但调查仍然戳破了勒索谈判中的一个基本假设：付款并不天然换来对方退出。攻击者没有审计义务，也没有可执行的合同责任。即使对方提供所谓“删除证明”，受害企业通常也无法独立核验其服务器、附属成员和下游买家是否仍保留副本。
传统勒索与今天的数据勒索，差别主要在攻击者手里的筹码。
| 勒索方式 | 主要筹码 | 付款后的企业预期 | 无法消除的风险 |
|---|---|---|---|
| 传统加密勒索 | 加密业务系统，出售解密工具 | 恢复文件和生产系统 | 解密失败、后门未清除、再次入侵 |
| 数据窃取加勒索 | 加密系统，同时复制敏感数据 | 恢复业务并阻止泄露 | 数据仍被保存、转卖或重复勒索 |
| 多方持有数据 | 原团伙、附属攻击者或其他团伙分别掌握副本 | 与一方达成协议后结束事件 | 另一方继续索款，删除承诺无法覆盖全部副本 |
这也是调查最有价值的地方。超过三分之一并不是“付款必然无效”的证明，却足以提醒董事会：赎金不该被当作彻底解决事件的采购支出。它至多是一次危机处置费用，而且结果不可验收。
赎金买不到数据删除，勒索正在变成持续性风险
早期勒索软件更接近一锤子买卖。攻击者加密服务器，企业付款获取密钥。只要备份可用、系统能重建，受害者还有机会绕开谈判。
如今常见的是“双重勒索”甚至多重施压。攻击者先窃取数据，再加密系统；如果企业拒付，就威胁公开文件、联系客户或向监管机构举报。即便业务已经从备份恢复，数据泄露的压力仍在。
这改变了企业评估赎金的方式。付款可能在少数场景下争取时间，例如关键业务长时间停摆、患者安全受到影响，或短期内没有可用的恢复方案。但它无法兑现三项最容易被管理层高估的结果：
- 无法证明攻击者删除了全部数据副本；
- 无法保证数据没有转交给附属攻击者或买家；
- 无法保证同一批材料不会换一个团伙名称再次出现。
付款本身也不是在任何司法辖区都当然违法，法律判断取决于企业所在地、收款对象和制裁名单等因素。如果收款方涉及受制裁实体，企业及协助交易的机构可能面对合规风险。因此，是否付款不能只交给安全团队或谈判公司决定。
如果企业正在面对付款抉择，比较稳妥的处置顺序是：
- 隔离受影响系统并保全证据。 不要为了尽快恢复而覆盖日志、删除恶意程序或重装全部设备否则会妨碍确认攻击入口和数据范围。
- 让法务、事件响应团队和保险方同时介入。 法务需要评估监管通知、客户告知和诉讼风险；专业团队负责取证、制裁筛查及谈判真实性核验。
- 把恢复能力与数据泄露分开评估。 备份能解决系统恢复却不能让已经外流的数据消失。
- **将付款设为最后选项而不是默认预案。** 决策材料应写清楚付款能缓解什么、不能保证什么，以及即使付款仍需承担哪些通知和修复成本。
- 按数据已经泄露来准备后续行动。 包括重置凭据、监控身份冒用、通知受影响客户并根据适用法律向监管机构报告。
对董事会和管理层而言，最现实的变化是不能再用“赎金金额”衡量事件总成本。停业损失、取证修复、客户通知、信用监测、诉讼和监管应对，可能在付款后继续发生。
安全团队也不应把预算主要押在备份上。离线备份仍然重要，但它只能降低加密造成的停机损失。身份权限管理、数据分级、出口流量监测和凭据轮换，才直接影响攻击者能带走多少数据，以及企业会被追索多久。
从Klue到Change Healthcare：失控的是被复制的数据
2026年6月，Klue与攻击者达成协议后，另一团伙仍获得了被盗数据样本，并继续制造勒索风险。这个案例没有证明原攻击者必然违约，却暴露了谈判协议的边界：企业只能约束谈判桌上的一方，无法确认数据此前是否已经复制或流转。
2024年的Change Healthcare事件提供了更早也更沉重的参照。勒索团伙与附属攻击者发生争执后，受害方又面对来自不同持有者的索款压力，并分别付款。事件最终波及约1.92亿人的健康和医疗数据。
这类健康数据尤其棘手。银行卡可以挂失，密码可以重置，病史、诊断和保险资料却很难“换新”。一旦副本落入多个团伙手中，付款只能影响某一方是否立即公开，无法收回已经扩散的数据。
Klue和Change Healthcare共同说明，勒索事件里最难控制的资产已经从解密密钥变成数据副本。前者只有攻击者掌握，后者却可以低成本复制、转卖和重新包装。所谓“付费删除”因此缺乏普通商业交易最基本的验收条件。
企业接下来真正该观察的，也不是攻击者是否发来一句删除承诺，而是三个可验证变量：入口是否已经清除、被盗数据范围是否查明、是否出现新的持有者或泄露样本。只要其中一项没有答案，事件就不能视为结束。