周鸿祎：未来勒索病毒会变成什么样？这个世界会好吗？

这次勒索病毒爆发，原本默默无闻的各大安全厂商瞬间冲在了抗病毒的最前线，用自己的技术和专业性实力圈粉。

不过，作为中国网络安全的“代言人”，360 公司的老大周鸿祎却一直没有公开发言。今天，红衣教主在媒体见面会上，对雷锋网宅客频道和其他媒体吐露了心声。

我们第一时间把问答整理成为文稿，和各位网络安全爱好者分享。

口述 | 周鸿祎360 公司创始人、董事长兼CEO

整理 | 史中(微信：Fungungun)，雷锋网主笔。

一、未来勒索病毒会变成什么样?

这次的勒索，第一次把网络武器从攻击组织到攻击个人。有人问勒索病毒有没有可能蔓延到手机上，我们觉得一定会蔓延到手机上。最近孙正义豪掷多少亿投资ARM，未来说全球要有一万亿的设备连到物联网上，我预言，物联网、智能硬件、智能家居、工业互联网都会在未来几年发生，中国有 300 万、 500 万的设备连接物联网，这会带来很大的问题。物联网和虚拟生活联结在一起，意味着所有的网络攻击都会造成物理伤害。如果从广义上去设想，这是很可怕的事情。 未来勒索会诞生很多新的模式：

• 现在你们各位离开手机就不能工作，不，是不能活了。如果有一天你手机里面攒了很多年的孩子的照片被加密了，说给钱才能解锁手机，你是不是要疯了。

• 也许某一天你的各种智能设备、家用电器都能可能被黑客锁定，你只有交钱才能看电视。

• 也许某一天，你出门需要交钱才能开车。这还没关系，最要命的是如果你交钱才能停车呢?我在看《速八》的时候突然脑洞大开，这样的电影正是告诉人们：在憧憬自动驾驶美好的时候，也不要忘记 360 这样的安全公司的价值。如果不注重网络安全，自动驾驶汽车也可能变成人肉炸弹。

未来这种网络犯罪和网络恐怖主义不会局限于面对个人。

首先，有可能更多面向工业企业。

现在大家谈工业制造2025，德国人谈工业4.0。工业互联网也可能被勒索。当像富士康的生产线都连上互联网以后，如果他被攻击了，会发生什么情况，别人还不得敲诈郭台铭先生多少亿美金，否则 iPhone 无法交货可是很大的问题。

其次，网络黑产的潘多拉盒子可能被打开。

过去网络黑产还是比较懂互联网的一批人在做，做木马、黑色产业链和勒索病毒的。这些做黑产的和我们网络安全行业不断的缠斗。

这次的网络攻击效果应该说是给很多犯罪分子、恐怖分子带来启发。原来传统的黑色产业链，他们可能会利用网络漏洞武器做更多的敲诈勒索，变成一种商业模式。

再次，很多传统的恐怖分子会受到启发。

9. 11 之后，包括在欧洲发生的几次大规模的恐怖袭击之后，各国政府加强了传统安防力量，比如地铁和机场的安检。

但网络攻击其实是成本很低，但很容易造成大规模恐慌和造成社会不稳定的方向，网络恐怖分子收到启发，很可能会出现一个新的名词——网络恐怖主义。我觉得未来几年可能网络恐怖主义会兴起。互联网到了一个新的时代，当网络和人类紧密交织在一起时，对网络的破坏就意味着是对整个社会秩序、对整个国家管理的破坏。所以未来反恐很重要的领域，要和网络安全结合在一起。

二、漏洞不是 Bug，是核武器

1、漏洞是核威慑

说到这次勒索病毒攻击， 360 已经提前做过预警。但是我们发现一个特别有意思的现象，安全公司有点像老在说狼来了，狼来了，大家也听习惯了，也都不当回事。这次攻击，其实可以借此机会把坏事变好事，相当于给大家上了一课。大家突然意识到一个问题，网络世界的攻击的威力不亚于核武器。

你们有没有发现，过去安理会有五大常任理事国都有核武器，它就能形成平衡，形成相互的核威慑，你有 100 枚核弹，我有 10 枚核弹，这种能力可以平衡住。但网络攻击不一样，这次 NSA 不小心泄露的旧武器“永恒之蓝”就造成巨大影响，可以想像没有泄露的武器是什么量级的。所以这种情况下，我相信全世界其他政府、国家政府的网络武器库里可能就压根儿没有与美国匹敌的网络武器。

至于微软的总裁呼吁，让全世界签署条约，大家都不要研发网络武器，我认为这个呼吁已经晚了。因为美国政府已经有了，而且很厉害，它就形成了一种对其他国家的非对称作战、不平衡作战、单方面优势。除非美国政府放弃，但这不可能。

我认为各国会非常重视以后这种网络攻击平台和网络攻击武器的研发，在网络世界会形成新一轮的军备竞赛。

2、美国早已用这些漏洞打造了一批“核武器”

美国政府过去经常说俄罗斯、中国攻击它的网络，把自己扮演成一个受害者。这次武器暴露出来后，大家看到美国哪里是受害者，美国是属于闷声发大财的典型，从来不声张，但实际上它已经在系统化、平台化的打造它的网络武器。

在网络攻击方面，各国和美国处在了一种非常不均衡的状态下。与美国相比，我们了解到世界各国国家级的网络武器都是非常零碎、不成系统的。往往是发现一个漏洞，就利用这个漏洞构造一次攻击。而美国已经用这些隐秘的漏洞，进而打造了一批武器。

在座的各位，今天真正弄来一枚核弹，也不知道怎么操作，怎么引爆，所以核弹还是很专业的。但这次攻击事件证明了运用这些网络武器的人不需要是专家，因为武器打造的足够精良。即使网络敲诈和网络勒索这种过去认为是毛贼水平的人，拿到武器后简单改一改都可能造成对全球带来威胁的犯罪。

我可以告诉大家。这次勒索病毒发生前，我们就已经基于 360 的数据和监测扫描出国内很多重要机构已经被永恒之蓝漏洞光顾过和渗透过了。只不过他们并没有锁机、勒索，而很可能盗取了很多机密的信息。

我觉得这次事件这对各国政府会形成很大的触动，网络世界要形成新的平衡，就像核武器一样，你有，我也有，我们就不轻易的发动攻击。如果我没有武器，我的武器对你发起攻击你都能承受，你的武器我都挡不住，在非均衡状态下你想消除网络攻击是不可能的。

三、没有漏洞的系统，不符合“热力学第二定律”

1、什么是漏洞呢?

既然漏洞这么可怕，那我们有没有可能避免使用带漏洞的系统呢?要回答这个问题，我想说说漏洞被利用的原理。

过去如果要利用一个漏洞，需要诱骗你运行一个程序。比如去某某网站下载一个客户端运行一下，它可能是个木马，这是 1.0 时代。

编辑：未知