一封釣魚電郵點樣鎖死成間公司？中小企勒索軟件入侵路徑同中招後第一小時

引言：唔係你部機特別值錢，而係釣魚電郵成本極低

「我哋咁細間公司，點解會搵我？」呢個問題，幾乎每個中招嘅中小企老闆都問過。答案其實好殘酷：攻擊者唔需要特別揀你，釣魚電郵可以一次過寄去成千上萬個地址，成本極低，只要其中一個人㩒咗，入侵就已經開始。香港常見嘅假冒對象包括銀行、供應商、速遞公司、同事甚至老闆本人；中文釣魚電郵有時語氣生硬，或者混入簡體字，呢啲都係警號，但唔可以靠呢啲警號做唯一防線——因為做得愈來愈似真嘅釣魚電郵，單憑肉眼已經好難分辨。呢篇嘅焦點好窄，只講釣魚電郵引發嘅勒索軟件：入侵鏈係點行、中招後第一小時嘅次序、點解唔鼓勵畀贖金、冇 IT 部門嘅小公司可以點預防。關於中招後第一小時嘅通用流程，見《勒索軟件中招後第一小時》；關於雙重勒索嘅詳細解釋，見《雙重勒索》；關於免費解密工具嘅陷阱，見《免費解密工具陷阱》；關於勒索軟件點樣經網絡同 NAS 擴散，見《勒索軟件經網絡擴散》。價錢口徑先講明：一律檢測後報價，呢篇唔寫任何具體金額、成功率、所需時間、損失數字或者保證。

入侵鏈四步：由一封電郵，到成間公司檔案被加密

第一步係假冒同誘因。釣魚電郵會假冒一個你本來就信嘅對象，配合一個令你急住行動嘅理由：例如「發票到期，請即確認」、「密碼即將過期，請即重設」、「速遞派送失敗，請即查看」。目的唔係要你即刻相信成封電郵，而係要你喺忙碌之中㩒一下——㩒附件或者㩒連結，兩樣都已經足夠。第二步係執行。附件可能係 Word、PDF 或者壓縮檔，連結可能去一個假冒登入頁；開啟附件本身已經有機會觸發惡意程式，唔一定要輸入密碼先至算中招——「我冇輸入密碼，只係開咗個附件，應該冇事」係一個常見誤解。第三步係立足同擴散。惡意程式喺部機上面站穩之後，會嘗試接觸公司網絡入面其他資源：共用資料夾、伺服器、NAS、雲端同步資料夾。呢個就係點解「勒索軟件只會鎖一部機」係錯嘅——只要受感染電腦連住公司網絡，加密同擴散就可能波及其他裝置同備份。第四步係加密同勒索。檔案被加密之後，系統同依賴呢啲檔案嘅服務無法使用，畫面彈出勒索訊息，要求付款換取解密密鑰；近年常見嘅「雙重勒索」，係攻擊者先偷走資料再加密，就算解密成功，資料外洩嘅風險依然存在，付款買唔到「資料一定唔外洩」嘅保證。

呢度要分清楚兩個成日被撈埋嘅概念：釣魚電郵同勒索軟件唔係同一回事。釣魚係入侵手法，勒索軟件係之後嘅惡意程式；仲有另一種常見騙局，叫做商業電郵詐騙，即係假冒供應商要求改銀行戶口、假冒老闆要求緊急轉帳——嗰種騙局嘅目的係直接騙錢，唔係加密檔案，處理方法亦唔同（涉及轉帳嗰陣，要盡快尋求銀行同警方協助，呢篇唔會寫成法律意見）。分清楚呢啲概念好重要，因為「公司電腦中毒」呢句說話背後，可能係三種完全唔同嘅事，而第一小時嘅做法亦會唔同。

點認釣魚電郵：五個檢查位，唔好只靠一個

冇任何一個檢查位可以百分百認出釣魚電郵，所以要幾個一齊用。第一，寄件人地址：顯示名可以假冒，但實際電郵地址好多時會露出破綻，例如域名串錯一個字母、或者用一個同真公司好似但唔同嘅域名；不過要講明，做得精細嘅假冒地址，肉眼亦未必睇得出。第二，急迫感：「即刻」、「今日之內」、「否則停用」呢類字眼，目的係令你跳過思考直接㩒；愈急嘅電郵，愈應該慢啲處理。第三，附件同連結：來歷不明嘅附件要特別警惕，尤其係壓縮檔同可執行檔；連結未㩒之前，先睇清楚實際去邊——滑鼠停喺連結上面睇網址，唔好直接㩒。第四，語言：中文釣魚電郵語氣生硬、文法古怪，或者混入簡體字，都係警號，但唔係證據；寫得流暢嘅釣魚電郵一樣存在。第五，要求本身係咪合理：銀行或者供應商會唔會用電郵叫你即刻改密碼、改戶口、開附件？如果要求本身已經唔合理，成封電郵就值得懷疑。最穩陣嘅核實方法，唔係回覆嗰封電郵問「係咪真係你」，而係用你本來已知嘅電話或者渠道，聯絡嗰個聲稱嘅寄件人——因為回覆釣魚電郵，只係回覆返去攻擊者手上。

中招後第一小時：做啱次序，比做得多更重要

職員誤按附件或者連結之後，頭一個鐘嘅次序，決定咗件事會停喺一部機，定係擴散成全公司事件。以下次序喺 HKCERT 指引同 CISA 指引入面高度一致，值得成間公司一齊記住。第一，立即斷網，唔好慌張亂按。拔除網絡線、關閉 Wi-Fi；如果多部裝置受影響，可以考慮喺交換器層面暫時斷開網絡。目的係阻止加密擴散去共用磁碟、伺服器同其他電腦，同埋阻止攻擊者繼續遠程操控。第二，唔好關機、唔好重啟、唔好自行重裝系統，除非斷網已經不可能。原因係關機可能破壞記憶體入面嘅證據同調查線索；CISA 指引明確指出，關機只係無法斷網嗰陣，防止擴散嘅最後手段——「關機就搞掂」係錯嘅。第三，立即通報公司 IT 或者負責人，唔好自行「試下解」。通報嗰陣要記低：幾時㩒咗咩（電郵主旨、寄件人、附件名或者連結）、有冇輸入過帳號密碼、有冇見到勒索訊息或者副檔名改變。如果曾經喺釣魚網頁輸入過登入資料，要立即更改相關帳號密碼，檢查帳號安全設定；如果涉及網上銀行或者購物帳號，要立即通知銀行。第四，唔好再開其他檔案、唔好插入 USB、唔好將受感染電腦接返網絡「睇下好返未」。第五，保留證據：保留勒索訊息截圖、受影響檔案嘅副檔名變化、電郵原文——如果 IT 人員要求提供電郵標頭，就要保留埋標頭，唔好刪除成封電郵。

公司層面，仲有幾樣嘢要同步做。第一，確認受影響範圍，唔好只處理一部機：同一封釣魚電郵仲寄咗畀邊個？邊個開過？有冇其他裝置出現相同徵兆？共用磁碟同伺服器有冇被加密？第二，封鎖同清除釣魚源頭：喺郵件系統封鎖寄件人同網址、清除其他信箱入面嘅同類郵件副本、重設所有曾經㩒過或者輸入過資料嘅用戶憑證、檢查登入記錄有冇異常登入。第三，停用受影響帳號，檢查管理員帳號有冇被新增或者盜用——如果懷疑網域管理員權限受損，應該由資深人員主導處理，呢篇只會點到即止，唔會寫成操作手冊。第四，改用公司內部以外嘅溝通渠道協調：如果公司電郵或者即時通訊可能已經被入侵，應該改用電話或者獨立渠道溝通，指定單一發言人，唔好喺社交媒體或者私人聊天群組公開事件細節。第五，通報同求助：盡快聯絡可信嘅 IT 支援或者網絡安全應變人員；香港公開渠道方面，可以向 HKCERT 求助（24 小時熱線 8105 6060，亦有網上事故報告表），或者向警方求助（防騙易熱線 18222、守網者同防騙視伏器）；要講清楚，向 HKCERT 求助唔等於報警，兩者係唔同渠道，按公司程序決定點樣分流。仲有一點關乎公司文化，值得老闆特別留意：唔好責備誤按嘅職員——有應變指南特別提醒，羞辱通報者嘅後果，係日後冇人敢通報，令下一次事件發現得更遲；重點應該係通報同處理流程，唔係追究邊個㩒錯。

備份還原：五個前提，缺一都唔好還原

好多人以為「有備份就冇事」，但還原之前有五個前提，缺一都唔應該還原。第一，必須先清除惡意程式，才可以還原——如果感染未清除就還原，還原返嚟嘅檔案可能再次被加密。第二，備份必須係「未受感染、未被加密」嘅版本——線上同步資料夾唔等於安全備份：如果加密檔案已經同步上雲，雲端版本亦可能已經被覆蓋；只有有版本歷史嘅雲端服務，先至有機會回復到舊版本。第三，備份本身可能已經被攻擊者破壞——近年指引指出，攻擊者會專門刪除備份副本或者重設儲存備份嘅網絡儲存裝置，所以「有備份」唔等於「有乾淨備份」，還原之前必須驗證備份嘅完整性同時間點。第四，如果完全冇備份，HKCERT 嘅建議係唔好輕率還原系統，以免遺失日後解密所需嘅資訊。第五，免費解密工具只適用於個別變種，唔可以一概而論——正確做法係先識別勒索軟件變種，再由專業人員判斷有冇已知嘅免費解密工具，呢篇唔會寫出任何具體工具名稱或者「保證解密」嘅網站；收費解密廣告極有機會係二次詐騙，要特別警惕。（其中第四、五項係針對冇備份同個別變種嘅分支處理，唔係每次還原都同時適用嘅前提。）還原之後仲要做埋：全面掃描、修補系統同軟件漏洞、重設所有可能外洩嘅密碼、為 VPN、電郵同管理帳號啟用多重驗證、檢查有冇殘留嘅遠程存取工具。關於備份嘅一般做法，見《3-2-1 備份方案》；關於自己試過之後點算，見《DIY 失敗之後點算》。

點解官方指引唔鼓勵畀贖金：四個理由

第一，畀錢唔保證攞返檔案——CISA 同 FBI 多次明確表示，畀贖金唔保證資料能夠回復；有受害者畀錢之後仍然收唔到可用嘅解密密鑰，或者被要求再畀更多。第二，畀錢亦唔保證資料唔會外洩——雙重勒索之下，攻擊者已經先偷走資料，就算解密成功，仍然可能公開或者轉售資料；畀錢買唔到「資料一定唔外洩」嘅保證。第三，畀錢會助長攻擊，令自己成為「會畀錢嘅目標」——CISA 嘅講法係，畀贖金可能鼓勵攻擊者繼續以有利可圖嘅目標為對象；有應變指南亦指出，畀過錢嘅受害者日後再受攻擊嘅風險較高。第四，無論畀定唔畀，都應該通報——畀錢唔係「私下解決就冇事」，通報同處理流程仍然要做。呢度要講明一條紅線：呢篇唔會寫「一定唔好畀，畀咗就犯法」呢類未經核實嘅法律定論——個別司法管轄區對受制裁實體嘅付款限制，屬於法律問題，需要法律意見；正確表述係，官方指引唔鼓勵畀贖金，原因如上；如果公司考慮任何付款，必須先經過管理層同法律或者執法意見，絕對唔可以由個別職員私下決定。

冇 IT 部門嘅小公司，最實際嘅五件事

好多預防清單寫到好長，但冇 IT 部門嘅小公司，根本做唔晒；以下五件事，係最實際、亦係指引入面重複出現嘅重點。第一，多重驗證全開：電郵、VPN、管理帳號，全部啟用多重驗證——呢樣嘢成本最低，效果最直接，就算密碼外洩，攻擊者都未必入到去。第二，備份加還原測試：定期備份重要文件，保留一份離線副本，仲要定期測試還原係咪真係行得通——只備份、唔測試，等於未證實嘅備份。第三，自動更新唔好拖：系統、Office、瀏覽器等軟件，保持更新至最新保安修補版本。第四，最小權限：唔好人人都有管理員權限，日常工作用一般帳號，管理員帳號只喺需要嗰陣先用；咁樣就算一個帳號被盜，擴散範圍都會細好多。第五，改付款資料之前，用已知電話核實：任何要求改銀行戶口、改收款資料嘅電郵，無論睇落幾真，都要用你本來已知嘅電話聯絡對方核實，唔好用電郵入面提供嘅電話——因為嗰個電話可能都係假嘅。呢五件事做齊，唔代表一定唔會中招，但中招嗰陣，損失同擴散範圍都會細好多；關於小公司停機成本同維護安排，見《中小企停機成本》。

常見問題

Q1：職員㩒咗釣魚連結，但係冇輸入密碼，係咪即係冇事？
A：唔可以咁假設。開啟附件本身已經有機會觸發惡意程式，唔一定要輸入密碼先至算中招；就算當下未見異常，都唔可以假設安全，應該按上面嘅次序隔離、通報同檢查。防毒軟件冇彈警告，亦唔等於乾淨——冇任何防毒程式可以偵測所有感染。

Q2：中招之後，第一時間應該關機定斷網？
A：斷網優先。拔除網絡線、關閉 Wi-Fi，阻止加密擴散去共用磁碟同其他電腦；關機只係無法斷網嗰陣，防止擴散嘅最後手段，因為關機可能破壞記憶體入面嘅證據同調查線索。斷網之後，立即通報公司 IT 或者負責人，唔好自行試下解。

Q3：有備份，係咪即刻還原就搞掂？
A：唔係。還原之前要符合五個前提：先清除惡意程式；備份必須係未受感染、未被加密嘅版本；驗證備份本身冇被破壞；如果完全冇備份，唔好輕率還原系統；免費解密工具只適用於個別變種。線上同步資料夾唔等於安全備份，只有有版本歷史嘅服務先至有機會回復到舊版本。

Q4：畀贖金係咪最快攞返檔案嘅方法？
A：官方指引唔鼓勵畀贖金，原因有四個：唔保證攞返檔案；雙重勒索之下，唔保證資料唔會外洩；會助長攻擊，令自己成為會畀錢嘅目標；無論畀定唔畀，都應該通報。如果公司考慮任何付款，必須先經過管理層同法律或者執法意見，絕對唔可以由個別職員私下決定。

Q5：向 HKCERT 求助，係咪等於報警？
A：唔係，兩者係唔同渠道。HKCERT 提供網絡安全事故求助同指引，警方處理刑事調查同防騙事宜；按公司程序決定點樣分流，必要嗰陣兩邊都可以聯絡。涉及轉帳詐騙嗰陣，要盡快尋求銀行同警方協助。

Q6：公司冇 IT 部門，最應該先做邊一樣？
A：先做多重驗證全開同備份加還原測試。電郵、VPN、管理帳號全部啟用多重驗證；定期備份重要文件，保留一份離線副本，仲要定期測試還原係咪真係行得通。呢兩樣成本最低、效果最直接，之後再做自動更新、最小權限同付款核實流程。

Q7：點樣先至知一封電郵係釣魚電郵？
A：冇任何一個檢查位可以百分百肯定，要幾個一齊用：寄件人實際地址、急迫感字眼、附件同連結、語言係咪生硬或者混入簡體字、要求本身係咪合理。最穩陣嘅核實方法，係用你本來已知嘅電話或者渠道聯絡聲稱嘅寄件人，唔好回覆嗰封電郵問「係咪真係你」。

搵 CentralComputer 幫手

公司懷疑有職員㩒咗釣魚電郵，唔肯定擴散範圍，或者想建立一套中小企用得嘅備份同預防流程？歡迎帶埋情況嚟問，我哋會按隔離、檢查、備份還原嘅次序幫你梳理，收費一律檢測後報價，唔會未睇過就開價。

電話：+(852) 2115 9219　|　WhatsApp：+(852) 6558 6806
地址：香港九龍觀塘開源道 55 號開聯工業中心 A 座 712 室
營業時間：星期一至六 10:00–19:00