一句话定义：Victim Ranking（攻击目标价值排序）指攻击者在动手之前，先给一批候选目标逐个打分、排序，把有限的人力、时间和攻击工具优先投向最容易获利的那几个。它本质上是一种攻击侧的“调度策略”，目标是把攻击从逐个挑选，变成批量筛选。
打分是怎么打的：传统上，这类判断主要靠人工完成，比如翻财报、看员工规模、查行业、搜新闻里有没有“被勒索后停产”的报道。现在，大语言模型（LLM）可以快速读完目标的公开信息，包括官网、招聘启事（能看出用什么云、什么安全岗）、新闻稿、监管披露、公开的供应商关系，然后按几个维度输出结构化评分：付得起多少钱、IT 有多成熟、有没有离线备份、受监管程度（医疗、金融、律所这类机构面对停机损失的容忍度极低）、舆情敏感度、有没有网络保险。分数越高，越先被攻击。
打个生活化的比方：这就是销售团队用的线索评分（lead scoring）。销售不可能给每个潜在客户都打一遍电话，于是市场部按“公司规模 × 预算 × 决策链长度”打分，销售只跟进前 20%。攻击者只是在同一套逻辑上换了个立场：把“成交概率”换成“付费止损概率”。
和相邻概念的区别：
| 概念 | 回答的问题 | 所处阶段 |
|---|---|---|
| Reconnaissance（侦察） | 目标有什么资产、什么信息？ | 信息采集 |
| Victim Ranking | 这一批目标里先打谁、值不值得打？ | 决策与分诊 |
| Targeted Attack（定向攻击） | 具体这一个目标怎么打进去？ | 执行 |
| Mass Phishing（广撒网钓鱼） | 一封邮件发给所有人，不排序 | 无排序环节 |
换句话说，侦察是“体检”，排序是把体检结果排成急诊分诊表，定向攻击是进手术室。勒索软件即服务（Ransomware-as-a-Service, RaaS）生态把这几步拆给了不同角色：有人做平台，有人做“附属团伙”（affiliate）负责落地攻击——排序表就是派单依据。
为什么值得关注：一旦排序自动化，攻击的经济学就变了。过去“广撒网”靠的是概率，现在“精准排序”靠的是筛选效率——同样一份钓鱼模板，发给评分前 5% 的目标，转化率完全不同。钓鱼内容也能被自动本地化：引用目标公司真实的项目名、真实的上级姓名、真实正在招标的供应商，让“这封信不像群发”这件事规模化。
对防守方的实际意义有三点。第一，你公开暴露的经营信息本身就是评分特征，减少不必要的披露（组织架构、技术栈细节、值班表）等于降低自己的排名。第二，从侦察到攻击的时间窗在压缩，暴露面收敛和补丁节奏要跟上。第三，公开信息的批量抓取往往先于攻击发生，异常的爬取与信息聚合行为可以作为早期信号纳入监测。对个人而言，同理：职位、可联系性、在公开渠道的活跃度，都是让你“被排到前面”的特征。
具体到各家厂商的命名、门槛与统计数据，以官方页面和原始报告为准。