37%勒索攻击盯上员工家人，59%企业还是付了钱

勒索软件团伙的威胁方式正在发生变化。过去他们锁住文件、偷走数据，现在他们把矛头对准了员工本人、高管，以及他们的家人。

根据 Semperis 发布的 2026 勒索软件风险报告，在成功的攻击事件中，有 37% 包含了对员工朋友或亲属的威胁。这个数字意味着，勒索软件不再只是一场技术危机，它可能演变成一场真实的人身安全和心理健康危机。

威胁不止停留在口头上

Semperis 调查了 1200 名 IT 和安全从业者，他们所在的组织在过去 12 个月内遭遇过成功的勒索软件攻击。研究覆盖了九个国家和八个行业，时间跨度为 2026 年上半年。

在受访者中，57% 报告收到过威胁短信、信件或包裹。另有 19% 面临过人身入侵威胁，17% 收到过绑架威胁，13% 遭遇过人身伤害威胁。

这些威胁并非空话。调查显示，在已报告的案例中，攻击者在 53% 的情况下真的付诸了行动。对个人的冲击相当严重：四分之一的受影响组织表示，员工或家属被人肉搜索，私人信息被曝光在网上。

约 23% 报告了"假报警"事件——犯罪分子谎报紧急情况，可能导致武装警察被派往受害者家中。另有 25% 表示有人需要医疗或心理治疗，24% 雇佣了私人安保。

在 14% 的案例中，员工或亲属更换了工作、办公室或住所。这种压力标志着勒索进入了新阶段。

从加密文件到施压家人

勒索软件团伙最初依赖文件加密。后来，许多团伙加入了数据窃取和泄露威胁。现在，犯罪分子可以研究社交媒体、泄露数据、公开记录和公司页面，找出亲属关系、住址、学校以及日常作息。这些细节让他们发出的信息显得直接且可信。

目标很简单：让拒绝支付赎金看起来比付钱代价更高。

人工智能也在改变勒索软件的运作方式。报告称，84% 的受访受害者遭遇过以某种方式使用 AI 的攻击。其中 40% 面临基于 AI 的攻击，44% 的情况是犯罪分子滥用了受害者自己的 AI 代理或系统。AI 可以帮助犯罪分子撰写有说服力的信息、研究目标、修改恶意软件，并以更大规模运作。

不过，调查数据反映的是受害者的报告，并不能证明每起事件中 AI 具体是如何被使用的。安全团队应将这些数字视为强烈警告，同时在将活动与 AI 关联之前，仍需检查日志、恶意软件样本、身份事件和攻击者通信。

身份系统仍是勒索核心

个人压力在增长，但身份系统仍然是勒索软件的核心。Semperis 发现，87% 的攻击针对 Active Directory、Entra ID 或 Okta。其中 Active Directory 在 51% 的案例中被 targeting。

然而，只有 50% 的受访组织拥有专门的身份备份，42% 拥有自动化身份恢复工具。这个差距很关键，因为身份控制权可以让犯罪分子获得广泛访问权限，帮助他们在网络中横向移动，并破坏恢复工作。

最近一起 Qilin 勒索软件调查显示，攻击者滥用 Active Directory 复制来收集域凭据。另一起 PAYLOAD 勒索软件案例中，犯罪分子使用组策略破坏 Windows 域，而无需加密文件。

企业需要更新应对计划

组织应更新勒索软件应对计划，覆盖网络之外的威胁。计划应明确谁联系执法部门、谁支持被针对的员工、谁处理公开信息，以及公司如何保护个人数据。

企业还需要一个独立于常规邮件和聊天系统的可信通信渠道，因为攻击者可能监视或禁用这些系统。演练应包含人肉搜索、假报警、针对儿童的威胁以及与亲属的联系。

员工也需要一个安全、不追责的渠道来报告可疑接触。公司应提供隐私检查、心理咨询，并为家庭成员提供明确建议，同时避免公开发表可能暴露受害者或干扰刑事调查的言论。

技术措施仍然重要。安全团队应强制执行多因素认证、限制特权访问、分段网络、修补暴露系统、保留经过测试的离线备份，并为身份服务准备干净的恢复方案。

CISA 的 StopRansomware 指南也建议组织隔离受影响系统、保存证据、保持领导层知情，并向 CISA 或执法部门报告事件。

支付赎金并不能保证安全、数据恢复或压力结束。FBI 表示不支持支付赎金，因为受害者可能什么也得不到，而付款会助长更多犯罪。

Semperis 发现，59% 的受害者至少支付过一次，而 69% 遭遇了多次成功攻击。这种模式使得快速遏制、可信的身份恢复、员工关怀和尽早联系警方，与恢复服务器同样重要。