阿里云主机被勒索，责任归属用户或平台？

事件背景与技术特征

阿里云服务器感染勒索病毒的典型攻击模式包括：通过未修复的系统漏洞入侵（占比37%）、利用弱密码或密钥管理不当获取权限（占比29%）、恶意邮件附件诱导下载（占比18%）。病毒主要通过加密用户数据文件实施勒索，2024年某案例显示单次攻击可导致企业直接损失超50万元。

用户责任分析

用户需承担以下维度的安全义务：

• 未及时安装操作系统补丁，导致已知漏洞被利用
• 未启用云安全中心提供的防勒索功能（默认关闭）
• 未按建议配置主机防火墙或关闭高危端口（如3389）
• 采用弱密码或泄露密钥文件

平台责任边界

阿里云作为服务提供商需确保：

1. 基础设施物理安全性（零报告事故）
2. 及时推送漏洞预警通知（48小时内响应）
3. 提供防勒索技术方案（需用户主动启用）

但平台不承担用户自主配置产生的安全风险，其服务协议明确要求用户自行维护应用层安全。

法律条款依据

根据《网络安全法》第22条和阿里云《服务等级协议》第6.3款：

• 云计算平台仅对IaaS层可用性负责
• 用户需对操作系统以上层级的安全管理负责

综合责任判定

典型判例显示，当用户存在以下情况时需承担主要责任（90%以上）：未实施有效备份、持续忽略安全告警、未购买平台提供的防护服务。平台仅在未履行漏洞通告义务（需举证）时承担补充责任。