微軟：作為科技公司，我們有第一責任去應對勒索病毒問題

在上周五的早上（美國時間 5 月 12 日），全球遭遇了今年最新的網絡攻擊。現在微軟總裁兼首席法務官Brad Smith對此做出了聲明，希望大獎吸取網絡攻擊的經驗教訓，緊急采取聯合行動，保護公眾安全上網。

下麵是全文：

從英國和西班牙開始，惡意軟件 WannaCrypt 迅速蔓延到全球，阻止客戶訪問自己的數據，除非用戶以比特幣方式支付贖金。WannaCrypt利用了從美國國家安全局（NSA）竊取的漏洞利用工具進行攻擊。媒體在今年早些時候對該竊案有過報道。約兩個月之前，在3 月 14 日，微軟公司發布了安全更新，來修補這一安全漏洞並保護我們的客戶。雖然這一舉措為對於那些開啟了 Windows Update (Windows 自動服務更新*) 的新一代 Windows係統和電腦提供了安全保護，但仍有許多電腦沒有安裝最新的安全更新。其結果，是在這次攻擊中，許多醫院、企業、政府和家用電腦受到了感染。

雖然惡意勒索軟件“ransomware”隻是眾多網絡攻擊類型中的一種，但最近幾天發生的事件已經讓它成為全球影響最廣泛的案例。更不幸的是，諸如“零日攻擊”和“網絡釣魚”等用來攻擊個人和基礎設施的惡意軟件的名稱，已成為消費者和商業領袖們耳熟能詳的新詞語。我們對任何一次針對Windows係統的網絡攻擊都高度重視，嚴陣以待。自上周五以來，我們一直在全天候、不間斷爭分奪秒地工作，為受到這一網絡安全事件影響的所有客戶提供幫助，包括做出決定采取額外措施，來幫助那些使用不再提供服務支持的、較舊版本係統的用戶。應對這次網絡攻擊、幫助受影響的用戶是微軟目前最高優先級的首要任務。

顯而易見，“WannaCrypt”網絡攻擊給我們上了深刻而重要的一課，我們必須從更廣的範圍上來準備，從而避免未來類似的攻擊再次發生。我認為，這一網絡攻擊事件對微軟和整個行業來說，是一個重要的改進機遇，從三個方麵著手行動。

作為一家科技公司, 微軟負有第一責任去解決這些問題。我們已越來越多地成為互聯網攻擊的第一響應人。微軟公司擁有超過 3500 名安全工程師，我們時刻在努力工作，全麵地應對網絡安全威脅，這包括為微軟整個軟件平台開發新安全功能，其中 Windows DefenderAdvanced Threat Protection （高級威脅保護，ATP）服務提供持續的安全更新，以檢測和阻止新的網絡攻擊。今年 3 月，我們開發並公布了安全補丁；上周五，我們迅速更新了Windows Defender保護用戶能夠檢測 WannaCrypt 攻擊，我們的客戶支持人員也正在爭分奪秒地工作，為受到攻擊的客戶提供幫助。

這次網絡攻擊告訴我們，我們麵臨的挑戰是長遠而艱巨的。我們將評估這次攻擊，總結可以吸取的經驗教訓，並利用這些經驗教訓提升我們的能力。通過微軟安全威脅情報中心（MicrosoftThreat Intelligence Center， MSTIC) 和打擊數字犯罪實驗室（Digital Crimes Unit），我們將與全球的執法機構、政府和其他客戶分享我們的經驗。

第二，此次攻擊也表明了，網絡安全在越來越大的程度上，已成為科技廠商和客戶共同分享的責任。微軟發布補丁兩個月後，依然有如此之多的計算機因為沒有實施補丁而易受攻擊，即說明了這一點。隨著網絡犯罪變得更加狡猾和複雜，如果用戶不實施安全補丁更新、升級操作係統，就無法完全保護自己免遭網絡攻擊。用過時的工具來對抗現代的攻擊顯然是勞而無功的。此次攻擊也為我們敲響了警鍾，每位用戶都有保護自己的權利和責任，簡而言之就是持續更新電腦並及時下載服務補丁，每位公司高層領導都應該支持這項工作。

同時，我們也清楚地看到和了解到當今 IT 基礎設施的複雜性和多樣性，以及實施係統更新對許多用戶來說是一個艱巨的實際挑戰。今天，我們使用強大的測試和分析工具來保證 IT 基礎設施的快速服務更新，我們將竭盡全力開發更進一步的能力，確保安全更新能夠及時部署到所有 IT 環境中。

最後，此次網絡攻擊事件再一次說明，為什麼政府機構搜集、貯備安全漏洞是一個巨大問題，這一風險在 2017 年以後便逐漸顯露。我們已經看到維基解密公布了美國中央情報局（CIA）貯備的安全漏洞，眼下從美國國家安全局（NSA）竊取的漏洞影響了世界各地的計算機用戶。一次又一次，來自政府機構掌握的漏洞攻擊被泄露到公眾領域，製造了大規模的危害。這種危害堪比美國軍隊的“戰斧導彈”被盜。最近的這次攻擊讓人們十分不安，同時也下意識地將當今世界兩種最嚴重的網絡安全威脅形式聯係起來，即國家層麵的網絡攻擊和有組織犯罪。

世界各國政府都應把此次網絡攻擊當作一個警示。他們需要改弦易轍，在網絡空間中遵循與現實世界相同的使用武器的規則。我們需要政府考慮囤積的這些漏洞以及漏洞被用於發動網絡攻擊將給普通民眾帶來的損失。正因如此，我們在二月份宣布了新的《日內瓦數字公約》來治理這些問題，包括對政府提出新的要求，需要他們向廠商報告安全漏洞，而不是囤積、售賣或者利用這些漏洞。這是為什麼我們承諾在麵臨網絡攻擊的情況下，我們保證為全球每一個地方、每一位客戶提供支持，無論他們的國籍。上個周末，無論是在倫敦、紐約、莫斯科、德裏、聖保羅還是北京，我們都在秉持並踐行了這一原則，與全球各地的客戶並肩作戰。

從最近的這次網絡襲擊中我們得知，我們應該重新下定決心采取更緊急的聯合行動。我們需要科技行業、用戶和政府共同合作，防範、保護用戶免受網絡安全攻擊。我們不僅需要采取更多的行動，更需要立刻行動起來。從這個意義上說，WannaCrypt 攻擊是對我們所有人的警示。我們認識到我們有責任幫助回應這一警示，為大家提供幫助，微軟正在不遺餘力地行動。