備份還原咗都未完：雙重勒索點解令「畀錢買返資料」變成假希望

好多香港中小企老闆對勒索軟件嘅理解仲停留喺舊版本：部機啲檔案俾人鎖起，畫面彈出勒索訊息，畀錢攞返解鎖匙，唔畀錢就靠備份還原。呢個理解本身冇錯，但已經唔完整。以前寫過嘅《勒索軟件頭一小時》講過中招之後頭一小時點應對，《免費解密工具陷阱》講過來歷不明解密工具嘅風險。今篇講一個更新、亦更難處理嘅角度：雙重勒索——攻擊者加密之前，已經先偷走咗一份你嘅資料。

呢個角度點解值得獨立成篇？因為佢改變咗成個算盤。以前嘅算盤係「有備份就唔怕，冇備份先要諗畀唔畀錢」。雙重勒索之下，算盤變成「就算有備份、就算系統還原到，被偷走嗰份資料仍然喺攻擊者手上」。備份解決嘅係「系統用唔用得返」，解決唔到「資料會唔會被公開」。兩者係兩個唔同問題，唔好混為一談。

一、雙重勒索點運作：兩重壓力，兩個唔同目標

第一重係大家熟悉嘅加密勒索。攻擊者入侵系統之後，將檔案加密，令你用唔到，再要求畀錢換解密匙。呢一重針對嘅係「運作」：公司停擺、訂單做唔到、系統開唔到，壓力嚟自停工損失。

第二重係偷資料再威脅公開。加密之前，攻擊者先將敏感資料複製出去——客戶資料、報價、合約、員工資料、財務檔案，邊類資料值錢就偷邊類——然後威脅：唔畀錢就將資料放上所謂「洩漏網站」公開，或者賣畀其他人。呢一重針對嘅係「聲譽同法律風險」：就算系統還原到，公開威脅仍然存在。

仲有一個更進一步嘅變種，坊間稱為三重勒索：喺雙重勒索之外再加多一重壓力，例如對公司系統發動阻斷服務攻擊，或者直接聯絡你嘅客戶、供應商施壓，逼你快啲畀錢。另一個變種係「只偷唔加密」：攻擊者淨係偷資料、威脅公開，完全唔加密，咁就連「檔案被鎖」呢個最明顯嘅警號都冇，事主可能遲好耐先發現出事。以下內容整理自公開安全研究同廠商分析，個別攻擊團體嘅手法會變，原理就係上面呢幾種組合。

二、點解畀錢買唔到「刪除保證」：一個無法驗證嘅承諾

雙重勒索最陰濕嘅地方，唔係勒索金額，而係交易本身無法驗證。你畀錢之後，攻擊者話「已經刪除偷走嘅資料」，你有咩方法核實？冇。你睇唔到佢嘅伺服器，查唔到佢有冇留底本、有冇分發畀同夥、有冇備份喺第二度。一個「唔公開」嘅承諾，唔等於「已刪除」；唔公開一排，亦唔等於永遠唔公開。承諾嚟自一個本身就用偷資料嚟勒索嘅對象，呢個承諾嘅可信程度，讀者自己判斷。

公開執法經驗更加說明呢一點：2024 年 2 月執法部門打擊 LockBit 團體之後，調查發現 LockBit 仍然保留住一啲受害者嘅資料，即使嗰啲受害者已經畀過錢、並且得到過刪除承諾。呢個唔係個別香港中小企案例，係公開報道嘅執法發現，但道理可以直接套用：畀錢買到嘅，最多係一個解密匙嘅機會同一個關於偷走資料嘅口頭承諾，唔係兩者嘅保證。解密工具本身亦可能有缺陷、不完整或者速度好慢，所以連「畀錢就還原到」呢一點都唔係保證。唔同研究對畀錢後嘅還原情況有唔同數字，今篇唔引用任何一個單一數字做定論，只講原則：畀錢係買一個機會，唔係買一個結果。

呢度要講清楚，今篇唔係叫你「畀」或者「唔畀」——呢個決定涉及法律、保險同業務影響，應該喺事前同法律顧問、保險公司傾好政策，唔好喺中招嗰晚、對住倒數計時器嗰陣先第一次諗。坊間一般建議係唔好畀贖金，因為畀錢會助長成個勒索產業，而且買唔到保證；但最終決定要按個別情況同專業意見做，今篇只係將「畀錢買唔到刪除保證」呢個事實講清楚，等決定唔好建基於假希望。

三、香港中小企點樣入局：入侵途徑冇乜新意，舊漏洞仍然有效

香港網絡安全機構分析本地勒索事件，列出嘅入侵途徑其實好熟悉，冇乜科幻成份：釣魚電郵（惡意附件或者連結）、遠端桌面（RDP）憑證太弱或者被盜用、未修補嘅漏洞（例如數據庫、軟件漏洞）、受感染網站嘅 drive-by 下載、惡意廣告、供應鏈入侵、暴力破解密碼、服務設定錯誤、社交工程。政府資訊保安網站亦用更白話嘅講法講同一件事：RDP 暴力破解或者有漏洞嘅 RDP 軟件、受感染網站、受感染嘅外置儲存裝置。呢啲係香港整體事件嘅一般模式，唔係中小企專屬百分比，今篇唔會編造任何「幾多成香港中小企」嘅數字。

對中小企嚟講，呢份清單有一個實際含義：攻擊者唔需要針對你公司度身訂造好複雜嘅攻擊，好多時只係掃到邊間公司有舊漏洞、弱密碼、冇開多重驗證嘅遠端登入，就入邊間。香港亦有機構因為遠端登入冇用多重驗證而出事嘅監管個案，教訓好直接：遠端登入嘅多重驗證唔係「有就好」，而係基本防線。一間公司有冇做好呢幾樣基本嘢，往往比公司大細更決定會唔會成為目標。

四、事前六件事：針對「偷資料」呢一重嚟部署

以下六件事整理自執法同安全機構嘅一般建議，重點係同時對付加密同偷資料兩重威脅，唔係淨係諗住還原系統：

第一，離線、加密、不可篡改嘅備份，而且要真係試過還原。攻擊者會特登針對備份落手，連備份裝置都可以成為目標，所以一個長期連住線嘅備份唔係安全副本。離線副本（例如定期斷開嘅外置備份）加不可篡改設定，先至有意義；仲要定期真係試還原，冇試過嘅備份只係一個希望，唔係一個方案。詳細備份做法見《3-2-1 備份》同《備份版本同勒索》篇。

第二，修補對外系統先。VPN、防火牆、備份系統、網站應用呢類對外裝置，優先修補已知被利用嘅漏洞。內部文書軟件嘅更新固然重要，但對外入口先係攻擊者最先摸到嘅地方。

第三，所有遠端登入、電郵同特權帳戶都要開多重驗證。密碼可以被盜、被猜中，多重驗證就係第二道門。呢一點成本唔高，但喺香港監管個案入面，冇做呢一點嘅代價已經寫得好清楚。

第四，分段隔離網絡。將重要系統同一般上網、一般辦公網絡分開，攻擊者就算入到一部機，都唔會即刻行勻全公司。分段唔係大企業專利，中小企嘅網絡都可以按部門、按重要程度做簡單分段。

第五，最小權限同限制管理工具。攻擊者好鍾意濫用正當管理工具（例如遠端執行、指令碼工具）喺網絡入面橫移。員工帳戶只俾佢工作需要嘅權限，管理工具只俾有需要嘅人用，橫移難度就會高好多。

第六，釣魚訓練同舉報機制。釣魚電郵仍然係最常見入口之一，員工識得認可疑電郵、識得舉報而唔係照開附件，成間公司嘅入口就少一個。訓練唔使好複雜，定期用真實例子提醒，已經有作用。

除咗技術六件事，仲有兩樣「業界一般做法」值得事前準備：第一，事前傾好畀唔畀錢嘅政策同法律、保險意見，唔好等到出事嗰晚先諗；第二，事前準備好一份客戶、合作夥伴通知草稿——雙重勒索之下，攻擊者可能比你更早聯絡你嘅客戶，你自己一份事實清楚嘅通知，本身就係止損嘅一部份。另外要準備一份離線聯絡清單同應變清單，因為出事嗰陣，份應變計劃本身可能都鎖喺被加密嘅系統入面。

五、中咗之後：備份還原只係一半，另一半係處理被偷嘅資料

如果已經中招，頭一小時嘅隔離、斷開共享磁碟、保護備份等步驟，見之前嘅頭一小時篇，呢度唔重複。雙重勒索之下，要額外處理嘅係另一半：假設資料已經被偷走，嚟做之後嘅決定。第一，唔好即刻用同一套備份還原返去同一個未清理嘅網絡，備份要先離線檢查，確認未受感染先還原，否則還原完又再中招。第二，評估邊啲資料可能被偷：客戶個人資料、合約、財務檔案，邊類資料外洩會有咩後果，評估結果會影響之後嘅通知決定。第三，考慮向香港有關方面求助同通報：香港網絡安全事故協調中心（HKCERT）接受資訊保安事故通報、警方處理網絡罪案、涉及個人資料嘅話可以考慮通知個人資料私隱專員公署。呢度要講明一點不確定之處：香港個人資料法例之下係咪有法定通報期限，要視乎行業同具體情況，唔好假設有一個劃一嘅「幾多小時內通報」死線，有疑問應該問法律意見，唔好憑印象做決定。第四，通知受影響客戶同合作夥伴嗰陣，講事實、講已經做緊咩、講佢哋可以點做，唔好講未證實嘅保證，例如「資料已經刪除」呢類你根本驗證唔到嘅說話。

FAQ

Q1：有備份係咪就唔怕雙重勒索？
只係唔怕一半。備份可以令系統還原，解決「用唔用得返」；但備份還原唔到已經被偷走嘅資料，解決唔到「會唔會被公開」。所以備份係必要，但唔係全部，仲要加上面六件事，特別係離線備份、多重驗證同分段。

Q2：畀錢係咪可以買返資料唔公開？
買唔到保證。攻擊者話刪除，你冇方法核實佢有冇留底本、分發畀同夥或者留作日後再勒索。公開執法發現亦顯示，有團體喺受害者畀錢之後仍然保留資料。所以畀錢最多係買一個機會同一個承諾，唔係買一個結果；畀唔畀錢嘅決定，應該事前同法律、保險傾好，唔好喺出事嗰晚先第一次諗。

Q3：三重勒索同雙重勒索有咩分別？
雙重勒索係加密加偷資料威脅公開；三重勒索係喺呢兩重之外再加多一重壓力，例如阻斷服務攻擊，或者直接聯絡你嘅客戶、合作夥伴施壓。原理一樣：用多幾個壓力點，逼你快啲畀錢。

Q4：點樣先知自己有冇俾人偷走資料？
未必即刻知。加密事件好明顯，偷資料可以好靜，特別係「只偷唔加密」嘅變種，連檔案被鎖嘅警號都冇。所以出事之後，唔好只睇邊啲檔案被加密，仲要檢查登入記錄、對外傳輸記錄，搵專業人員協助判斷有冇外洩跡象；懷疑有個人資料外洩，就要按上一節講嘅通報同通知去處理。

Q5：中小企人手少，六件事邊樣最先做？
一般建議嘅次序係：離線備份加試還原、遠端登入多重驗證、對外系統修補，呢三樣先做，因為佢哋成本相對低、覆蓋最常見入口。之後再做分段、最小權限同釣魚訓練。次序只係一般做法建議，實際要睇你公司邊個入口最暴露，檢測嗰陣可以一齊評估。

如果你懷疑公司已經成為勒索軟件目標，或者想檢視上面六件事邊樣未做到，歡迎聯絡 CentralComputer 中環電腦了解情況：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：了解情況後報價，確認先開工，唔會亂收費。