一家贸易公司的老板收到一封英文邮件，说已经拿到他们两万条客户资料，三天内不付比特币就公开。他把邮件转给我，问是不是真的。我先看了发件域名、邮件里的样本数据，再看服务器日志，判断这更像是一封群发的恐吓信。
先判断是不是虚张声势
这类邮件有很大一部分是撒网式的，对方并没有真的拿到数据，只是拿公开渠道能查到的公司名和邮箱凑一封。判断办法是看它给的样本：如果只是官网上就有的公开信息，可信度低；如果真出现了客户手机号、内部文件，那就要按真的泄露来处置。
别急着回信，也别急着付
回信等于告诉对方这个邮箱是活的，会引来更多勒索。付款更不能做，绝大多数情况下付了还会要第二次，而且没有任何保证。正确顺序是先内部封存现场，把服务器日志、访问记录、异常账号导出，再看有没有真的外传痕迹。
按规矩报案和通知
如果确认有泄露，涉及个人信息的，按规定要向监管部门报告并通知受影响的用户。这件事不体面，但必须做，事后被发现瞒报的代价更大。同时报案留档，很多企业在跟客户解释时，一份报案回执比说一百句都有用。
补漏洞这件事要在处置的同时做。日志里往往能看到异常登录、异常的数据库导出、可疑的账号创建，顺着这些线索找到入口，把口子堵上。我见过只改密码不做排查的，两周后又被进了同一个口子，第二次对方直接把库删了，比第一次狠。
太原的中小企业大多没有专职安全人员，遇到这种事容易慌。我的建议是平时就准备好一张应急联系清单：技术负责人、法务或律师、辖区派出所、云服务商的安全支持。真出事时按清单打电话，比临时找人靠谱得多。
勒索邮件的常见疑问
要不要请外部安全公司
确认有真实泄露、涉及客户数据量大的，建议请专业团队做取证，费用不低但结论可信。
客户问起来怎么说
已确认的事实说实话，未确认的别猜。给出已采取的措施和后续安排，比含糊其辞更能稳住客户。
怎么预防下一次
入口排查加基础加固，重点是弱口令、暴露的远程端口、过期组件，这三样占了大多数。
总结：勒索邮件真假参半，慌是最没用的反应。先核实、别回信、查日志、按流程报案，把损失和被动都控制在最小。