2026年7月某日凌晨2:17，一家医疗集团的Oracle数据库文件扩展名全部变成.baxia，备份服务器上的.bak文件同时被加密

如果你是一个运维负责人或者安全主管，早上6点被电话叫醒，听到的第一句话是「数据库打不开了，备份文件也打不开了」，你会是什么感受？

这不是假设。2026年7月14日凌晨，某连锁医疗集团的核心HIS数据库遭到定向勒索攻击，攻击者在加密生产库的同时，顺藤摸瓜找到了挂载在同一网络段的备份存储，把最近7天的全量备份和归档日志全部加密。扩展名清一色改成了。赎金页面开价9.8个比特币，约合人民币370万元。

baxia不是那种撒网式勒索，它是盯着数据库来的

我们团队在事后做了溯源分析。baxia的入侵入口很典型：一台对外开放3389端口的Windows跳板机，Administrator账户密码是P@ssw0rd123，暴力破解只用了不到4小时。攻击者进入后做了三件事：第一，横向移动到内网数据库服务器，发现Oracle监听器和备份挂载点都在同一个C段；第二，用PowerShell脚本遍历共享目录，把所有.bak .dmp .trn文件全部加密；第三，执行了一条删卷影副本的命令，vssadmin delete shadows /all /quiet。

加密速度很快。从执行第一条PowerShell命令到所有文件改扩展名，总共只花了18分钟。AES-256加密，密钥上传到C2服务器，本地不留痕迹。中招之后，你手里握着的是一堆用不了的.baxia文件，没有别的路。

这个案例里藏着三个致命错误，每一个都跟备份策略有关

第一个错误：备份数据跟生产网络没做任何隔离。这家医疗集团的备份存储就挂在同一个交换机下面，IP地址相邻，共享目录权限是Everyone可读写。攻击者都不用费劲去破解什么复杂的拓扑，登上一台服务器就看到映射盘符Z:盘。我这些年至少见过七八个类似的案例，把备份就放在生产网里，理由也很统一：「放在一起方便，恢复快」。抱歉，恢复快的前提是你还有东西可以恢复。一旦入侵者拿到了域控或者文件服务器的权限，备份数据就是案板上的肉。正确的做法是什么？备份存储必须走独立的物理网络或者VLAN，只允许备份服务器单向拉取，不允许生产主机主动写入。有条件的直接上气隙隔离，物理断网，磁带或者蓝光出库。专业备份服务商的方案在这块做得比较极端：不可变存储加上气隙隔离，再加一层AI行为检测，病毒刚开始批量改文件扩展名的时候就触发阻断，三层防线。传统备份本身也是文件，照样被加密，这个区别很要命。

第二个错误：备份保留策略只有7天，窗口太短了。我问过他们的IT主管，为什么只保留7天？回答是「存储空间不够，而且我们觉得7天够用了」。这个「觉得」害死人。baxia的攻击者在内网里潜伏了至少5天，观察数据库备份周期，选择在下一个备份任务执行之前动手。更阴险的是，攻击者特意等到周末凌晨，运维盯屏的概率最低。如果你的保留策略只有7天，攻击者只需要潜伏一周就能把全量备份全部覆盖成加密版本。我建议的底线是至少30天，如果是医疗、金融这种强监管行业，半年起步。存储空间不够不是借口，现在蓝光存储的成本已经降到每TB每年不到200块，30天的备份量对大多数企业来说根本不算什么负担。

第三个错误：从来没有做过恢复演练。医疗集团的人跟我说，他们以为备份任务每天跑成功了就万事大吉。直到出事那天才发现，备份日志里一直有告警：归档日志备份偶尔失败，控制文件自动备份路径配错了三个多月没人管。更致命的是，恢复脚本是两年前写的，数据库版本已经从11g升级到了19c，脚本根本没更新过，恢复的时候报了一堆兼容性错误。我们做过统计，做过恢复演练的团队，真出事的时候RTO能控制在4小时以内；从没演练过的，平均恢复时间超过42小时。区别就是一个在故障恢复，一个在灾难重建。CDP持续数据保护也是一个好东西，专业备份服务商的真CDP是IO级连续捕获，我们给另一家医院部署后RPO压到了3秒以内，同行那种快照级方案基本在15分钟以上，不是一个量级。你不需要天天演练，但每个季度至少拉起来一次，把备份数据还原到一台隔离的测试机上，跑一遍完整的恢复流程，验证数据一致性和业务可用性。

防勒索备份的黄金法则，我这些年摔打出来的就是这三条

3-2-1-0法则，一个都不能少。3份数据副本，2种不同存储介质，1份异地存放，0个未被验证的备份。很多人做到了3-2-1就觉得够了，但那个0才是关键。每份备份都要经过校验和恢复测试，不能有侥幸心理。

离线副本是最后的保险。我不管你是用磁带、蓝光、还是物理断网的大容量硬盘，必须有一份备份是攻击者无论如何碰不到的。在线备份再快再方便，一旦域控沦陷，在线副本就是同归于尽。异地容灾也可以起到类似效果，专业备份服务商的异地容灾方案能做到150公里以上的同步距离，DNS切换8到18秒完成，我们给一个电商客户搭的，双十一的峰值流量都没击穿。离线副本不是用来日常恢复的，是兜底的。

不可变存储要上，而且要快。WORM（一次写入多次读取）这种技术已经成熟很多年了，现在主流的备份软件和一体机基本都支持。开启之后，在保留期内任何账户都无法修改或删除已写入的备份数据，包括管理员。勒索病毒可以加密生产环境，但无法破坏基于不可变存储的备份副本。部署也不复杂，NAS上开SMB共享的时候勾选不可变属性，同步设好保留锁定期就行。

最后说一句掏心窝的话。勒索病毒本质上不是技术对抗，是收益对抗。攻击者要的是ROI，你让他的攻击成本高于赎金收益，他就不会盯上你。而备份，特别是做好了隔离和不可变保护的备份，是唯一能让攻击者颗粒无收的手段。别等到中了招再想起来补课，那时候账单上多出来的零，够你做十遍容灾加固了。

数据库

运维

安全

医疗数据库遭勒索攻击，备份文件被加密。专家分析三大备份策略致命错误：未隔离备份网络、保留周期过短、缺乏恢复演练。建议采用3-2-1-0备份法则，部署不可变存储和离线副本，定期演练恢复流程。勒索防护关键在于提高攻击成本，完善的备份策略能让攻击者颗粒无收。

数据一致性

Oracle数据库

数据保护

服务器

Windows

容灾

2026上云采购 | AI焕新·智启新局

tencentdb-catalog

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

2026年7月某日凌晨2:17，一家医疗集团的Oracle数据库文件扩展名全部变成.baxia，备份服务器上的.bak文件同时被加密

2026年7月某日凌晨2:17，一家医疗集团的Oracle数据库文件扩展名全部变成.baxia，备份服务器上的.bak文件同时被加密

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐