備份做咗都救唔返？勒索時代備份失效五大原因＋3-2-1-1-0 點做先穩陣

「我有備份㗎，唔驚。」呢句說話，喺勒索軟件面前未必成立。勒索軟件唔止鎖你部機入面嘅檔案，佢仲會搵埋你嘅備份一齊鎖、一齊刪。結果好多人到出事嗰刻先發現：備份程式每日都話成功，備份碟明明插住，雲端明明有檔案，但還原嗰陣先知——備份同正本一齊冇咗，或者備份版本本身已經係加密咗嘅版本。之前寫過嘅《3-2-1 備份方案》講點樣分散擺放備份，《備份還原測試》講點樣驗證備份還原得到；今篇講埋最關鍵嘅一層：喺勒索時代，點解有備份都會救唔返，同埋點樣補返呢個漏洞。

先講清楚：呢篇唔會保證任何備份組合「一定救得返」。備份只係降低損失嘅手段，唔係免死金牌。以下講嘅，係業界一般做法同官方指引整理出嚟嘅原則，實際要點做，要睇你嘅資料有幾重要、預算幾多、同埋你願意花幾多時間維護。

一、備份失效嘅五個最常見原因

原因一：備份長期連住，變成第二個受害者。外置硬碟長期插住部機、NAS 長期喺同一個網絡入面，勒索軟件只要入到你部機或者你個網絡，就有機會順手加密埋呢啲「備份」。備份嘅意義，係要有一份同受感染環境隔離嘅副本；長期連住，就等於將副本放返喺爆炸範圍入面。官方指引成日強調「離線」兩個字，原因就係咁。

原因二：雲端同步即時同步埋被加密嘅檔案。呢個係最容易誤解嘅一點：雲端同步資料夾（例如將檔案同步去雲端硬碟）唔等於備份。同步嘅邏輯係「兩邊保持一致」——你部機嘅檔案俾人加密，同步程式就會好忠心咁將加密版本同步上雲端，覆蓋返原本正常嘅版本。如果你個雲端服務有版本保留功能，又保留得夠耐，仲有機會拎返舊版本；如果版本保留期好短，或者根本冇開版本功能，同步就變成幫手刪證據。同步係方便，備份係保險，兩樣嘢唔好撈亂。

原因三：得一個版本，冇得返轉頭。好多備份設定預設係「覆蓋式」：每次備份都覆蓋上一次，碟入面永遠得最新一份。呢個設定對付「唔小心刪錯檔案」夠用，但對付勒索就唔夠：因為你可能過咗幾日先發現中招，而呢幾日入面嘅備份，已經將加密咗嘅檔案覆蓋咗幾次。冇版本，就冇得揀返未加密嗰個時間點。版本保留，唔係奢侈功能，而係勒索時代嘅必需品。

原因四：備份帳戶權限太大，一個密碼失守就全軍覆沒。如果用嚟做備份嘅帳戶，同你日常用嘅帳戶係同一個，或者備份帳戶本身有權刪除備份，咁攻擊者只要偷到一個帳戶，就可以登入備份系統將備份刪埋。業界一般做法係將備份管理分開：備份用獨立帳戶，開多重驗證，日常帳戶冇權改動或者刪除備份。原則好簡單：可以刪除備份嘅人，越少越好；可以刪除備份嘅途徑，越難越好。

原因五：從來冇還原測試過，出事先知備份係壞嘅。備份程式話「成功」，唔等於還原得到。備份檔案可能損壞、可能唔完整、可能備份咗錯誤嘅資料夾、可能加密密碼唔見咗。呢啲問題，平時完全唔會出聲，出事嗰陣先一次過爆出嚟。之前寫過嘅還原測試篇講過：未測試過嘅備份，只係一個希望，唔係一個計劃。今篇再強調一次，因為喺勒索情境入面，呢個係最後一道防線，而最後一道防線係唔可以靠估嘅。

二、3-2-1-1-0 係咩：逐個數字拆解

傳統 3-2-1 係：3 份副本（正本加兩份備份）、2 種唔同媒介、1 份異地副本。3-2-1-1-0 喺呢個基礎上加兩個數字，專門針對勒索時代：

多出嚟嘅「1」：一份離線或者不可更改嘅副本。「離線」即係平時實體斷開，例如備份完就拔線收好嘅外置碟，或者輪換用嘅備份碟；「不可更改」即係設定咗保留期，喺保留期內任何人都改唔到、刪唔到嘅儲存方式（業界叫 WORM 或者物件鎖定）。重點唔係用咩牌子，而係呢份副本要做到一點：就算攻擊者攞到你嘅管理權限，都唔可以直接改寫或者刪除佢。家庭同小企最容易做到嘅版本，就係輪換外置碟——一份連住做備份，一份斷開收好，輪流用。

最後嘅「0」：還原錯誤零容忍，即係還原測試零錯誤。意思係備份唔係做完就算，要定期驗證還原得到，而且驗證結果要係零錯誤先算合格。業界一般做法係：每月隨機還原幾個真檔案，睇下開唔開到、內容啱唔啱；定期做一次較完整嘅還原演練，睇下成個流程行唔行得通。驗證嗰陣發現問題，係好事——因為發現問題嗰陣，你仲有時間修補；出事嗰陣先發現，就太遲。

要留意一點：3-2-1-1-0 唔係叫你買最貴嘅設備。對家庭同小企嚟講，重點係結構：有冇一份斷開嘅副本、有冇版本可以返轉頭、有冇分開權限、有冇測試過。做到呢四點，已經比好多「備份程式每日都話成功」嘅 setup 穩陣好多。

三、家庭同小企點做：一個做得到嘅組合

第一，兩隻外置碟輪換，備份完即斷線。例如星期一用 A 碟，星期四用 B 碟，備份完即刻拔線收好，唔好兩隻一齊長期插住。咁樣就算其中一隻連住嗰陣出事，另一隻斷開嘅都仲喺度。碟上面最好貼個簡單標籤，寫低係邊個星期用、備份咗邊部機，唔好靠記性。

第二，雲端備份要開版本保留，唔好只靠同步。用雲端備份服務嗰陣，入設定睇清楚版本保留開咗未、保留幾多個版本、保留期有幾長。記住：同步資料夾同備份服務係兩樣嘢，同步唔等於備份。如果你而家只係用同步資料夾，就等於原因二講嘅風險仲喺度，值得補返一個真正嘅備份服務或者一隻輪換外置碟。

第三，備份帳戶獨立＋多重驗證。備份服務用一個獨立帳戶，唔好同日常電郵或者工作帳戶共用密碼，開埋多重驗證。日常用嘅帳戶，唔應該有權刪除備份。呢一步唔使錢，只係要花十分鐘設定，但就係原因四嘅直接解藥。

第四，寫低一張還原清單。邊啲資料最重要（例如相、文件、公司帳目）、邊個版本喺邊隻碟或者邊個雲端帳戶、還原步驟係點、加密密碼收喺邊。呢張清單唔好只放喺部機入面——部機鎖咗就睇唔到——最好印一份或者放喺另一部裝置。出事嗰陣，人最容易亂，有清單先至唔會行錯路。

四、中咗勒索之後，點樣先好用備份還原

就算備份做得啱，中招之後嘅處理次序都好重要，做錯一樣可以將好事變壞事。第一步係斷網隔離：將受影響嘅機同網絡斷開，唔好俾勒索軟件繼續擴散，亦唔好俾佢繼續加密你其他備份。第二，唔好即刻將備份還原返去同一部未清理乾淨嘅機——還原到一部仲有惡意程式嘅機，結果只係再加密多次。正確次序一般係：先確認感染範圍同清理乾淨，或者還原到一部已經隔離同檢查過嘅裝置，再慢慢驗證檔案。

第三，還原之前，先諗下版本揀邊個：唔好自動揀最新嗰個，因為最新嗰個可能已經係加密版本。要揀一個肯定喺感染之前嘅版本，還原之後抽樣檢查檔案開唔開到、內容正唔正常，先至大規模還原。第四，關於贖金：官方指引一般建議唔好畀，因為畀錢唔保證拎得返檔案，仲會助長同類攻擊，而且還原備份本身先係正路。呢篇唔會幫你決定個別個案點做，但原則好清楚：有乾淨備份，就唔需要靠贖金。

最後一句：備份嘅價值，唔係喺你設定嗰日，而係喺你還原嗰日。今日花半個鐘檢查下你嘅備份有冇上面五個漏洞，好過出事嗰日花成個星期後悔。檢查方法好簡單：而家就去睇下，你有冇一份平時斷開嘅副本？你個雲端有冇版本保留？你個備份帳戶係咪獨立？你上一次成功還原檔案，係幾時？四條問題，答唔出任何一條，就係今個星期要補返嘅功課。

FAQ

Q1：雲端同步資料夾算唔算備份？
唔完全算。同步嘅目的係令幾部裝置保持一致，檔案加密咗都會同步埋去；備份嘅目的係保留一個可以返轉頭嘅時間點。同步可以係備份組合嘅一部分，但如果得同步而冇版本保留同離線副本，勒索面前係唔夠嘅。

Q2：外置碟長期插住有咩問題？
長期插住嘅碟，同部機喺同一個受攻擊範圍入面。勒索軟件有機會加密埋佢，或者攻擊者用你嘅帳戶刪埋佢。備份完即斷線收好，先至做到真正隔離。

Q3：版本要留幾耐先夠？
冇一個放諸四海皆準嘅數字，要睇你幾耐先會發現出事同埋儲存空間有幾多。原則係：保留期要長過你發現問題所需嘅時間，仲要有幾個唔同時間點嘅版本可以揀，唔好得最新一個版本。設定之前，入你個備份服務嘅版本保留設定睇清楚，唔好假設。

Q4：備份本身都加密咗，點算？
首先唔好絕望住：檢查下有冇更早嘅版本、有冇另一隻斷開嘅碟、有冇雲端版本保留可以拎返。揀版本嗰陣要揀肯定喺感染之前嘅時間點，還原到隔離裝置驗證咗先再用。如果所有副本都受影響，就要搵專業協助評估，唔好自己亂試還原工具——亂試有可能覆蓋埋僅餘嘅好版本。

Q5：還原測試要做幾密？
業界一般做法係每月抽樣還原幾個檔案驗證，定期做一次較完整嘅還原演練。頻率可以按資料重要性調整，但底線係：唔可以一次都冇做過。第一次測試，最好就喺今個星期做，因為測試本身好快，但發現問題嘅價值好大。

如果你檢查完，發現自己嘅備份有上面任何一個漏洞，或者唔肯定而家嗰套備份還原唔還原得到，歡迎拎嚟 CentralComputer 中環電腦問下：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：檢測後報價，確認先開工，唔會亂收費。