SkyDriveapp 勒索软件防护——检测、警告与一键还原

勒索软件是什么

勒索软件是一种恶意程序，感染你的电脑后会加密所有文件，然后要求支付赎金才能解密。如果你的文件同步在 OneDrive 上，一旦本地被加密，加密后的文件也会被同步到云端——相当于把云端备份也毁了。

OneDrive 的勒索防护就是专门防这个的。

OneDrive 的三层防线

第一层：勒索软件检测

OneDrive 实时监控你的云端文件变化。当检测到：

• 短时间内大量文件被重命名
• 文件扩展名被批量修改
• 大量文件内容异常加密后重新上传

系统会标记为可疑活动。

第二层：警告通知

检测到异常后，OneDrive 会通过以下方式通知你：

• 应用内推送：OneDrive 桌面/手机应用弹出通知
• 邮件警告：Microsoft 发送到你的账户邮箱
• 网页端显眼提示：登录 OneDrive.com 时顶部显示安全警告横幅

收到警告后不要盲目操作——先冷静确认是不是你自己或家人在批量操作文件。

第三层：一键还原

确认是勒索攻击后，OneDrive 可以帮你把整个云端 OneDrive 还原到攻击发生前的时间点。

收到勒索警告后的正确操作

第一步：断开网络

如果怀疑电脑已感染勒索软件：

1. 断开电脑的网络连接（拔网线或关闭 Wi-Fi）
2. 让加密软件无法继续同步被加密的文件到 OneDrive 云端

第二步：停止 OneDrive 同步

• Windows：右键系统托盘云朵图标 → 暂停同步 → 选择 2 小时
• Mac：菜单栏云朵图标 → 暂停同步

第三步：扫描并清除病毒

用杀毒软件（Windows Defender、Microsoft Defender 等）全盘扫描清除勒索软件。确保清除干净后再进行下一步。

第四步：访问 OneDrive 网页端

在另一台安全的设备（手机、其他电脑）上访问 OneDrive.com，用同一个 Microsoft 账户登录。

第五步：执行还原

1. 登录 OneDrive.com
2. 看到顶部的勒索警告横幅，点击「还原」按钮
3. 在还原界面选择一个时间点（系统会建议一个最佳还原点）
4. 查看该时间点的文件预览，确认是被攻击前的正确状态
5. 点击「还原」开始恢复

还原过程可能需要几分钟到几小时，取决于你的 OneDrive 有多少文件。

还原后会发生什么

被加密的文件

• 云端被加密的文件会被删除，恢复到正常版本
• 本地电脑上的加密文件不会自动解密（病毒已经加密了本地）

还原后的本地同步

还原完成后：

1. 在之前清理过病毒的电脑上重新开启 OneDrive 同步
2. OneDrive 会把云端已恢复的文件重新同步到本地
3. 本地之前被加密的文件会被云端的正常版本覆盖
4. 如果本地加密文件没有被自动覆盖，可以手动从 OneDrive 文件夹恢复

还原时间点选择

OneDrive 保留了一个时间轴让你选择还原点：

• 系统推荐：通常选择攻击检测时间点之前 1-2 小时
• 手动选择：可以在时间轴上拖动滑块到任意日期和时间
• 建议原则：选你确信电脑还没被感染的那个时间点

还原前检查

在点击还原之前，OneDrive 会显示该时间点下的文件数量和变化情况。确认这看起来合理（不是文件突然全没了）再继续。

免费 vs 订阅版的差异

重要提示：免费账户收到勒索警告后，没有一键还原能力。只能靠普通回收站和版本历史手动恢复。强烈建议存储重要文件的用户升级到 Microsoft 365。

平时的预防措施

1. 开启 Windows Defender：实时防病毒防勒索是第一道防线
2. 保持 Windows 更新：勒索软件常利用系统漏洞传播
3. 不要随意下载打开陌生文件：邮件附件、聊天软件传输的 .exe 文件尤其小心
4. 定期检查 OneDrive 健康状态：在 OneDrive 设置中可以查看是否有安全警告
5. 保持自动保存开启：让 Office 文档随时有版本历史可以回退