近期，“Sorry” 新型勒索病毒持续在国内活跃，多家医疗机构遭遇攻击。不同于传统勒索病毒只加密文件索要赎金，该家族采用双重勒索模式：黑客先潜入内网批量窃取病历、医学影像、患者隐私等敏感资料，再对服务器与终端文件进行加密锁死；一旦医院不支付赎金，窃取的医疗数据就会被公开在暗网，造成患者隐私大面积泄露。医院业务系统一旦瘫痪，门诊、检查、住院诊疗流程都会受到冲击，医疗行业信息安全的短板再次暴露。
一、医疗机构频频中招，从加密权限、加密算法两个维度分析根源
1. 缺少细粒度加密权限管控，给病毒横向窃取创造条件
很多医院仅依靠网络防火墙做边界防护，没有对病历、影像文件配置独立的文件权限体系。
文件访问权限只绑定操作系统账号，没有进程级管控。只要黑客拿到一个合法内网账号（通过弱口令、运维漏洞、钓鱼入侵），就能以该账号身份，调用任意程序读取、复制全院的电子病历、PACS 影像文件。
“Sorry” 病毒入侵主机后，会伪装成普通进程，利用现有账号权限批量遍历、读取、拷贝核心医疗文件。同时缺少导出、拷贝的权限限制，病毒可在内网横向扩散，多台服务器批量拉取敏感数据，完成 “先偷数据” 这一步。
简单来说：权限只看账号，不看访问程序，病毒拿到账号就等同于拿到文件访问权，这是双重勒索能够成功窃取数据的关键原因。
2. 核心文件无落地加密，原始明文存储，黑客拿到即可直接使用
大量医院的病历、影像文件在服务器、终端硬盘上以明文形式落地保存，没有底层加密保护。
这些明文文件本身没有自带加密算法保护。当 “Sorry” 病毒入侵后，一方面可以直接读取明文数据打包外传；另一方面病毒再利用自身的加密算法对明文文件二次加密，锁住业务资料。
黑客只要成功拷贝走硬盘上的明文病历影像，不需要额外破解，就可以直接在暗网交易、用来施压勒索。即便后续医院恢复业务系统，患者隐私泄露的损失已经无法挽回。
明文存储，等于把核心数据裸奔，一旦内网被突破，数据就完全暴露，这也是双重勒索最有威慑力的根源。
二、医疗机构应对双重勒索的整体防护思路
抵御 “Sorry” 这类双重勒索攻击，不能只依靠单一杀毒软件，需要构建 “事前防护、事中拦截、事后溯源” 的纵深防护体系。
- 内网隔离与账号权限治理：划分业务网段，把 PACS 影像服务器、HIS 数据库和普通办公终端隔离；清理弱口令，落实最小权限原则，不同岗位账号仅开放必要的数据访问权限，限制账号横向访问范围。
- 做好数据备份与容灾：建立离线异地备份，备份系统与业务内网物理隔离，防止勒索病毒删除备份文件，保障业务在加密攻击后可恢复。
- 终端与服务器行为审计：对文件读取、拷贝、外发、U 盘拷贝等操作全程记录，一旦出现大量文件批量读取、异常加密行为，第一时间触发告警，阻断病毒横向扩散。
- 核心数据文档加密保护：对电子病历、医学影像文件落地加密。即便黑客突破边界入侵服务器，窃取到的文件也是密文，无法直接拿到可用的患者隐私资料，从根源上破解双重勒索 “偷数据 + 加密文件” 的核心套路。
- 人员安全培训：针对钓鱼邮件、陌生 U 盘、外部接入设备开展常态化培训，封堵社会工程学攻击入口。
三、加密权限与加密算法，在抵御 “Sorry” 勒索事件中的应用
在本次 “Sorry” 病毒针对医疗机构的攻击场景中，文档加密与精细化权限管控，是弥补边界安全短板的关键防线。
1. 细粒度加密权限管控，阻断病毒横向窃取
权限管控的核心是进程白名单 + 账号分级授权。系统会对病历、影像文件设置保护区域，仅允许院内 HIS、影像阅片软件、授权办公程序正常读取解密。
当 “Sorry” 病毒入侵主机后，它属于未授权的陌生进程，即便拿到服务器账号，也无法读取受保护目录内的病历与影像文件，更不能对这些文件执行二次加密操作。同时可以限制 U 盘拷贝、微信、网盘外发等通道，不同岗位设置不同权限：医生仅可查看对应患者病历，不可批量导出；管理员账号也无法随意批量拖库。
配套完整操作审计日志，所有文件访问、导出、拷贝行为都留存记录，一旦出现异常批量读取，能够快速定位风险主机，阻断病毒在内网横向扩散。就算黑客拿下内网一台终端，也无法批量窃取院内核心医疗数据，双重勒索的 “数据窃取环节” 直接失效。
2. 高强度加密算法，保障被盗数据不可用
这类防护方案采用成熟高强度加密算法，文件在磁盘落地时自动转为密文，授权程序访问时在内存中实时解密，整个过程对医护人员无感，不影响日常阅片、病历书写工作。
“Sorry” 病毒使用 AES+RSA 组合对文件加密，而受保护的医疗文件本身已经完成底层加密。即便病毒尝试对文件进行加密操作，会因为文件底层加密机制与进程权限拦截，无法改写文件；就算黑客绕过系统、拷贝走硬盘里的文件，拿到的也只是无法解密的乱码密文，无法在暗网出售患者隐私，黑客的勒索筹码直接消失。
密钥独立管理，不随文件一同存储，即使文件被非法拷贝，没有合法密钥，攻击者无法破解病历、影像资料，从底层解决数据泄露的风险。
总结
勒索攻击已经从单纯加密锁文件，演变为 “先偷数据，再加密，曝光施压” 的双重勒索模式，医疗机构只依靠防火墙、杀毒软件的传统防护思路，已经不足以应对 “Sorry” 这类新型勒索威胁。构建内网网段隔离、账号权限治理、离线备份、文件加密、行为审计的多层防护体系，重点保护电子病历、影像等核心敏感数据，才能在病毒入侵后，守住数据底线，避免隐私泄露与业务瘫痪。固信软件依托精细化权限管控与高强度加密能力，能够帮助医疗机构筑牢核心医疗数据防线，抵御这类双重勒索攻击。
编辑：小七
#加密软件#
热门跟贴