中咗勒索軟件後首 1 小時：0–5 分鐘止血、5–30 分鐘保命、30–60 分鐘求助完整流程

中咗勒索軟件後首 1 小時：0–5 分鐘止血、5–30 分鐘保命、30–60 分鐘求助完整流程

屏幕突然彈出勒索訊息，話你啲檔案已經被加密，要畀贖金先攞得返；或者一開資料夾，發現大量檔案副檔名變晒，點撳都開唔到。呢一刻，好多人第一反應係慌：即刻開檔案試下仲開唔開到、即刻上網搵解密方法、即刻諗住畀錢了事、即刻重裝部機當冇事發生。呢啲反應全部可以理解，但全部都可能令情況更差。

呢篇文只講一件事：中招之後首 1 小時，應該點做。唔講預防清單，因為預防係出事之前嘅事；中招之後再講預防，幫唔到眼前呢部機。上一篇文章已經講過勒索軟件點樣分類同初步處理、點解唔好畀贖金同埋一般預防做法，想重溫背景可以睇：香港勒索軟件／病毒：中咗點算、點解唔好畀贖金、頭幾步做啱先救到檔案。呢篇就集中講時間線：邊樣先做、邊樣唔好做、邊樣留返俾專業人員同執法部門處理。

先講一個大原則：首 1 小時嘅目標唔係「還原檔案」，而係「唔好再整衰」。加密緊嘅過程要停低，乾淨嘅備份要保住，證據要留返，求助渠道要打通。還原檔案係之後嘅事，而且要經檢測先可以判斷有咩選項。以下內容係一般性指引，唔能夠代替親身檢測；實際情況要經檢測先可以判斷。

先用 30 秒確認：係咪真係勒索軟件

唔係每一個彈出警告都係勒索軟件。有啲只係瀏覽器入面嘅假警告，嚇你去打某個電話或者下載某個工具，檔案本身未必有事。喺驚慌之下花 30 秒做一個簡單確認，可以避免將小事當大事，亦可以避免將大事當小事。

• 睇檔案：開一個平時用開嘅資料夾，睇下係咪大量檔案一齊開唔到、副檔名變成陌生後綴。得一兩個檔案開唔到，未能排除勒索軟件；若同時見勒索訊息或範圍擴大，即按時間線處理。成個資料夾、甚至多個資料夾同時出事，就要高度懷疑。
• 睇訊息：有冇一個勒索訊息，叫你聯絡攻擊者、畀贖金換解密金鑰，或者改咗桌面背景做警告畫面。據業界一般做法，勒索訊息假冒執法機構發出，屬常見恐嚇手法之一，唔好當真。
• 睇範圍：係咪得一部機出事，定係隔籬部機、共用資料夾、網絡硬碟都開始出事。範圍愈大，愈要即刻按下面時間線處理。

確認之後，唔好再喺受感染嗰部機上面開嚟開去試。每次操作都可能觸發更多加密、覆蓋證據或污染備份／雲端。跟住下面嘅時間線做，每一步只做嗰一步講嘅事。

首 1 小時總覽：先止血，後保命，再求助

成個首 1 小時可以記做三句：0–5 分鐘止血，5–30 分鐘保命，30–60 分鐘求助。止血即係斷開傳播途徑；保命即係留證據、保住備份、保護帳戶；求助即係判斷範圍、報案同聯絡專業支援。每個階段只得幾個動作，刻意寫得少，因為驚慌嗰陣，長清單等於冇清單。

如果你係公司環境，仲要多一個動作：即刻通知負責人同埋可能受影響嘅同事，叫大家停手，唔好喺自己部機亂試。好多擴散都係咁發生：一個人中招，全公司逐個開共用資料夾睇下自己有冇事，結果逐個中招。停手，本身就係最重要嘅隔離。

0–5 分鐘：止血

呢 5 分鐘只做一件事：切斷勒索軟件繼續擴散嘅路。動作要快，但唔好亂。

第一步：即刻斷網。拔走網絡線，關閉 Wi-Fi，開飛行模式，關閉藍牙。如果部機係枱式電腦，最直接就係拔走網絡線；如果係手提電腦，可以直接關閉 Wi-Fi 同時開飛行模式。斷網嘅目的係阻止加密擴散去其他電腦、伺服器、網絡硬碟同雲端。如果同一網絡有多部裝置受影響，要考慮將受影響網段離線。喺家庭環境，意思就係屋企其他電腦、平板、手機都唔好再連去同一個 Wi-Fi 上網住，等確認情況先再處理。

第二步：拔走外置儲存同斷開共用資料夾。拔走外置硬碟、USB 手指，斷開已經映射咗嘅網絡磁碟同共用資料夾。長期插住部機嘅備份硬碟，同樣會被加密；平時備份完應該即刻拔走，長期插住就失去備份嘅意義。呢一步好多人會猶豫，心諗「會唔會拔走就冇咗備份」，其實啱啱相反：唔拔走，備份先至最危險。

第三步：暫停雲端同步。如果你有用雲端同步服務，唔好喺受感染嗰部機上面直接開雲端資料夾睇。雲端同步特別危險：本機同步資料夾入面嘅檔案被加密之後，同步服務可能自動將加密版上傳雲端，覆蓋原本正常嘅版本。正確做法係先斷網，再用另一部已確認乾淨嘅裝置，登入雲端服務去暫停同步或者檢查版本紀錄。唔好喺受感染機上面登入備份平台、銀行、電郵或者任何重要帳戶。

第四步：停手，唔好再開檔案。唔好逐個檔案開嚟試，唔好開電郵，唔好上網搜尋解密方法，唔好下載任何聲稱可以解密嘅工具。呢個階段，每一次操作都可能令情況更複雜。停手之後，直接入下一個階段：留證據。

呢 5 分鐘之內，有兩樣嘢千祈唔好做：唔好畀贖金，唔好即刻重裝。畀贖金嘅問題，後面會有獨立一節詳細講；重裝嘅問題亦一樣：重裝會抹走追查證據，亦唔會解開已經加密咗嘅檔案。呢兩樣嘢都係出於「想快啲解決」，但結果往往係令之後嘅選擇變少。

5–30 分鐘：保命

止咗血之後，呢 25 分鐘做三件事：留證據、記時間線、保護備份同帳戶。呢啲事唔趕住做，之後就好難補返。

留證據：影低勒索訊息全版。用手機影低或者截圖勒索訊息全版，包括聯絡方式、付款指示、限期、聲稱嘅變種名稱。勒索訊息入面嘅資料，有助之後識別變種、報案同埋查詢有冇對應嘅免費解密工具。唔好刪除勒索訊息、唔好刪除可疑檔案，刪除咗就補唔返。影完之後，將相片存喺另一部乾淨裝置，唔好存返入受感染嗰部機。

記時間線：寫低你知嘅每一件事。包括最早發現時間、邊部裝置最先出事、邊個資料夾最先出事、自己做過邊啲動作、邊啲裝置同佢連接過同一個網絡。時間線唔需要寫得好靚，重點係準確。執法部門、HKCERT 同專業支援人員，都需要呢啲資料去判斷感染範圍同埋懷疑感染途徑。記低自己做過邊啲動作同樣重要：例如你有冇開過某個附件、插過邊隻 USB、有冇開過遠端桌面，呢啲都係線索。

保護備份：唔好駁返，唔好即刻還原。呢個係好多人最易做錯嘅地方：驚到即刻將備份硬碟駁返入受感染部機，想睇下備份仲喺唔喺度，或者即刻還原。千祈唔好。備份硬碟駁返入去，隨時即刻被加密；即刻還原，更加可能將仍然活躍嘅惡意程式連同備份一齊還原，結果再被加密。正確做法係將備份硬碟保持離線，留待之後檢測確認乾淨先至處理。還原之前，必須先清除惡意軟件，並且確認備份係未受感染、屬於加密發生之前嘅版本。

保護帳戶：用乾淨裝置改重要密碼。如果懷疑帳戶資料可能已經外洩，例如瀏覽器記住咗密碼、電郵同雲端帳戶曾經喺受感染部機登入過，應該用另一部已確認乾淨嘅裝置去處理。次序上，先處理最重要嘅帳戶：電郵、銀行、雲端儲存、公司系統。改密碼嘅時候，唔好喺受感染部機上面做，唔好喺受感染部機上面登入任何重要帳戶。至於多因素認證，應該喺乾淨裝置上面檢查同埋啟用，唔好喺出事嗰部機上面操作。

公司場景：通知內部，劃清範圍。如果係公司環境，呢個階段要通知負責人、IT 負責同事同埋可能受影響嘅部門，叫大家停用共用資料夾、唔好開可疑檔案、唔好將自己部機駁返入公司網絡。同時要記低邊啲部門、邊啲系統、邊啲共用資料夾可能受影響。唔好隱瞞，唔好拖延通報：愈早通知，愈容易阻止擴散；拖延只會令受影響範圍愈嚟愈大，之後處理亦愈嚟愈複雜。

30–60 分鐘：求助同下一步

去到呢個階段，個人處理已經差唔多做完，重點轉為求助同埋判斷下一步。唔好自己一個人繼續喺受感染部機上面試嚟試去。

判斷範圍：得一部機定成個網絡。回顧頭半小時收集到嘅資料：得一部機出事，定係多部機、共用資料夾、網絡硬碟都有跡象。檢查同一個 Wi-Fi 或者內聯網上面嘅其他電腦、手機、平板，共用資料夾、外置硬碟、雲端同步資料夾，睇下有冇同樣症狀。呢個判斷會影響之後嘅處理規模：得一部機，處理相對集中；成個網絡都有事，就要按公司應變程序處理，唔好逐部機各自亂試。

報案同求助：用乾淨裝置聯絡。報案同求助渠道，詳細內容喺下面「香港求助渠道」一節。呢度先講次序：先保存證據，再報案。報案前要準備好勒索信全文或者截圖、受感染裝置數量同埋副檔名變化、最早發現時間、懷疑感染途徑、有冇備份、係咪涉及客戶或者員工個人資料。報案嘅作用係記錄、協助執法，同埋令執法部門掌握趨勢，唔好期望報案之後即刻有解密方法。

聯絡專業支援：檢測後報價。如果需要專業協助，應該喺呢個階段聯絡。專業檢測可以判斷感染範圍、備份係咪乾淨、同埋下一步點行。收費方面，我哋用檢測後報價，唔會喺未檢測前報實價，因為受感染範圍、系統狀況、有無備份都會影響處理工序，未檢測報唔到實價。聯絡嘅時候，提供頭半小時記低嘅時間線同埋勒索訊息相片，會令檢測更加有效率。

之後嘅恢復選項：按次序嚟。恢復方面，本文聚焦三條主要路，按次序考慮。第一，備份還原，屬於首選，但必須確認備份乾淨未受感染之後先還原；還原之前必須先清除惡意軟件，否則可能再被加密。第二，免費解密工具：如果冇備份，可以去 No More Ransom 官方網站，查詢有冇對應變種嘅免費工具；勒索訊息入面嘅資料有助識別變種。只用官方網站，唔好喺搜尋結果亂下載來歷不明嘅工具。第三，專業恢復：如果備份無效、又冇解密工具，可以尋求專業支援，檢測後報價。呢三條路唔係任揀，要按次序、按檢測結果嚟決定。除咗以上三條路，卷影副本／系統還原點同雲端版本紀錄亦可能有還原選項，但唔保證有，好多勒索軟件會主動刪除卷影副本，雲端版本紀錄亦要逐個版本檢查，先確認係加密之前嘅版本。

要講清楚：清除病毒唔等於解密。呢句說話要再講一次，因為太多人將兩件事撈埋。防毒軟件可以清走惡意程式，但唔會自動解開已經加密咗嘅檔案。清走咗惡意程式，檔案依然係加密狀態；唔清走惡意程式就還原，檔案可能再被加密。所以清除同還原係兩個步驟，次序唔可以調亂，亦唔可以當成同一件事。

關機定唔關機：兩派並陳

「中咗勒索軟件，應唔應該即刻關機」係坊間爭論最多嘅問題，兩派都有道理，唔可以二選一含糊帶過。呢度將兩派立場並陳，等讀者明白取捨。

法證派：斷網，唔關機。呢一派主張斷網之後，保持開機，唔好亂㩒。理由係關機會清除記憶體入面嘅揮發證據，包括正在執行緊嘅程序、連線紀錄、加密金鑰等資料。呢啲資料對追查感染途徑、識別變種同埋執法調查可能有幫助。一旦關機，記憶體內容就會消失，之後好難補返。所以法證派嘅次序係：斷網、保持開機、唔好亂㩒、保留證據、等專業人員處理。

實務取向（參考 CISA 回應指引的整理）：斷唔到網，可以關機阻止擴散。另一派取實務取向（參考 CISA 回應指引的整理），立場比較實務：如果無法斷網，先可以關機阻止擴散。理由係現實環境未必每次都能夠即刻斷網，例如裝置喺遙距地點、網絡線拔唔到、裝置唔喺身邊。喺加密進行中而又斷唔到網嘅情況下，任由加密繼續擴散，損失可能比失去記憶體證據更大。所以實務取向將關機視為最後手段，唔係首選，但係斷唔到網嗰陣可以考慮嘅選項。

實務結論：首選斷網、保持開機、唔好亂㩒。如果加密進行中而又斷唔到網，關機係最後手段，並且要記低決定同埋時間。無論揀邊一派，都要記低自己做過咩決定、幾點幾分做，呢啲紀錄對之後嘅檢測同報案都有用。唔好喺未了解情況之下，憑感覺自行決定關機與否；唔肯定嘅話，先斷網、保留證據，再尋求專業意見。

千祈唔好做：首 1 小時錯誤清單

以下清單方便截圖轉發，每一項都係首 1 小時入面常見嘅錯誤，做咗任何一項，都可能令情況更差：

• 唔好即刻畀贖金：畀錢唔保證還原，可能助長攻擊者，仲可能再被針對。詳情見下面「點解唔好畀贖金」一節。
• 唔好即刻重裝或者格式化：抹走證據，唔會解密。重裝之後，加密咗嘅檔案唔會變返，解密機會反而可能冇埋。
• 唔好繼續用受感染部機上網或者登入帳戶：會令加密擴散、污染雲端、帳戶可能被盜。
• 唔好刪除勒索訊息：會失去識別變種、報案、搵解密工具嘅關鍵資料。
• 唔好即刻插返外置硬碟或者開返同步：備份或者雲端可能即刻被加密或者覆蓋。
• 唔好喺受感染部機上面下載解密工具：搜尋結果有大量來歷不明嘅工具，可能本身就係惡意程式。只用官方渠道，仲要經檢測評估之後先決定。
• 唔好同攻擊者討價還價：唔好聯絡攻擊者，唔好按訊息入面嘅連結去任何付款頁。聯絡本身就係風險。
• 唔好隱瞞或者拖延通報：公司環境更加要即刻通知負責人，唔好等到聽日返工先算。

點解唔好畀贖金

畀唔畀贖金，係中招之後最難做嘅決定。攻擊者會用倒數計時、「唔畀就刪除檔案」、「唔畀就公開資料」呢類說法施壓，目的就係等受害人喺恐慌之下即刻畀錢。冷靜落嚟，畀錢嘅問題有幾個層面要諗清楚。

第一，畀錢唔保證還原。CISA 明言畀錢唔保證還原，可能助長攻擊者、資助非法活動。No More Ransom 同樣指出畀錢係資助罪犯，之後更可能再被針對。就算攻擊者有提供解密工具，解密亦唔保證成功，檔案亦唔保證完整。畀錢買返嚟嘅，最多只係一個機會，唔係一個結果。

第二，畀錢唔解決資料外洩。部分攻擊手法係先偷資料，再威脅公開。就算畀咗錢，攻擊者承諾刪除資料亦不可信。呢一點好重要：好多人以為畀錢就等於事件完結，其實加密同偷資料係兩件事。畀錢可能攞返解密機會，但已經被偷走嘅資料，仍然可能被公開或者被轉售。所以畀錢之後，依然要保留證據、報案同徵詢專業意見，唔好當成事件完結。

第三，畀錢可能引嚟第二次勒索。據相關警示，曾有受害人畀錢之後被要求再畀一次。呢類情況曾有個案，唔好當成普遍規律，但足以說明「畀錢就完事」係幻想。付款本身證明受害人願意畀錢，攻擊者有誘因再施壓。

第四，畀錢會助長更多攻擊。每一次付款，都證明呢種手法有效，會鼓勵攻擊者繼續針對其他人。呢個唔係道德說教，而係實際後果：今日畀錢解決眼前問題，聽日可能就係下一個受害人面對同樣勒索訊息。

咁唔畀錢係咪即係檔案冇晒？唔係。有備份可以還原，冇備份可以查 No More Ransom 官方網站有冇對應變種嘅免費工具，加密檔案亦應該保留，因為將來可能有新解密工具。呢啲選項全部要經檢測評估之後先決定，唔好自行亂試。

雲端同步、備份、NAS 點處理

首 1 小時入面，雲端同步、備份同 NAS 係三個最易出事嘅地方，值得獨立講清楚。

雲端同步會上傳加密版。好多人以為「雲端有備份就唔怕」，但同步唔等於備份。雲端同步嘅設計係將本機變化同步上雲端，本機檔案被加密，同步服務就可能將加密版上傳雲端，覆蓋原本正常嘅版本。正確做法係先斷網，再用乾淨裝置登入雲端服務，暫停同步，然後檢查雲端版本紀錄有冇加密之前嘅版本。檢查要逐個版本嚟，唔好喺中招機上面直接還原。至於雲端版本紀錄有冇保留幾多個版本、保留幾耐，要睇個別服務嘅設定，唔好假設一定有。

備份硬碟長期插住，等於冇備份。備份盤平時應該保持離線，備份完成之後即刻拔走。長期插住部機嘅備份盤，同樣會被加密。首 1 小時之內，唔好將任何外置硬碟駁返入受感染部機，唔好即刻還原。還原之前，必須先清除惡意軟件，確認備份乾淨未受感染，先至考慮還原。業界一般做法係 3-2-1 原則：3 份備份、2 種媒介、1 份異地；進階做法仲會加 1 份離線或者不可變備份，同埋還原測試。呢啲係出事之前應該做好嘅事，中招之後先諗就太遲；但首 1 小時之內，至少要做到「唔好將僅有嘅備份都賠埋入去」。

NAS 唔係備份保險箱。網絡硬碟直接暴露上網、預設端口、弱密碼、長期開住遠端存取，都係 HKCERT 警告過嘅攻擊面。QNAP DeadBolt 事件劫持 NAS 登入頁顯示贖金訊息，證明 NAS 暴露上網可以直接被加密。首 1 小時之內，如果懷疑 NAS 已經受影響，要將 NAS 離線，唔好喺受感染部機上面登入 NAS 管理介面。NAS 入面嘅資料係咪仲救得返，要經檢測先可以判斷，唔好自行喺原機亂試。

香港求助渠道：報警、HKCERT、私隱專員

香港求助有三條路，每條做嘅事唔同，唔好撈埋一齊。

HKCERT：技術支援，唔係執法。可以經網上事故報告表格提交報告，或者致電 24 小時熱線 8105 6060。HKCERT 會就技術層面提供意見，例如建議先離線隔離、用正版工具全機掃描、有備份就由備份還原、冇備份唔好重裝系統、查詢 HKCERT 勒索軟件解密指引同 No More Ransom 官方網站。HKCERT 明言唔保證解密成功。報案之前，先保存證據：電郵內容連標頭、日誌、勒索訊息截圖。日誌要盡快保存，因為防火牆、VPN、防毒日誌保留期有限，遲咗就冇。

警方：涉及罪案。可以親身到就近警署，或者經警方網上報案表格提交。負責單位為網絡安全及科技罪案調查科，旗下有守網者 CyberDefender 同埋防騙視伏器。如懷疑金錢受影響，應該用另一部已確認乾淨嘅裝置聯絡銀行，唔好喺中招部機上面登入網上銀行。如有懷疑詐騙，可以致電警方防騙易熱線 18222 查詢。報案嘅時候，提供同事件有關嘅訊息樣本、勒索信全文或者截圖、受感染裝置數量同埋副檔名變化、最早發現時間。

私隱專員公署：涉及個人資料外洩。如果事件涉及客戶或者員工個人資料，機構應該盡快通報私隱專員公署同埋受影響人士。香港並無法例規定 72 小時內必須通報，應盡快通報；72 小時時限係歐盟 GDPR 嘅概念。通報唔係認錯，而係令受影響人士可以及早防範，例如留意可疑訊息、加強帳戶保安。

三條路之間，唔係只揀一條。技術問題搵 HKCERT，罪案搵警方，個人資料外洩搵私隱專員。報案同求助唔係做樣，而係保留證據、防止擴散、同埋令執法部門掌握趨勢。

香港公開案例教訓：數碼港事件

數碼港事件係香港最具代表性嘅公開案例，值得喺首 1 小時應對入面參考，因為佢說明咗「中招之後點處理」同「點解平時保安做唔足會付出代價」。

2023 年 8 月，數碼港系統遭勒索軟件攻擊，自稱 Trigona 嘅組織要求贖金；9 月黑客聲稱盜取逾 400GB 資料並公開部分樣本。受影響人數方面，二手整理有唔同寫法，人數說法不一，本文採用「逾萬人」，唔寫具體數字。暗網轉述嘅贖金金額未經私隱專員公署證實，唔好當成事實。

私隱專員公署喺 2024 年 4 月 2 日發表調查報告，指出五項缺失：欠缺有效偵測；遠端存取未啟用多因素認證；保安審計不足，事發前最後一次審計距事故逾 19 個月；保安政策欠具體；不必要地保留個人資料。私隱專員公署裁定違反私隱條例。呢個案例唔係 CentralComputer 處理過嘅個案，只作公開教訓參考。教訓好清楚：遠端存取冇多因素認證、審計唔足、資料保留過多，出事嗰陣先補救，代價大得多。首 1 小時應對做得幾好，都唔能夠彌補平時保安做唔足嘅缺口；但首 1 小時做錯，就會令缺口變成更大嘅損失。

香港實況：釣魚仍然係主要入口

HKCERT 公開數字顯示，2024 年共處理 12,536 宗保安事故，釣魚佔 7,811 宗，約 62%，按年升 108%，屬於五年新高；惡意軟件事故按年升 4.8 倍，多數為偽裝正版程式嘅木馬。要注意，呢啲係全部保安事故，唔好誤讀為勒索軟件宗數；並無 HKCERT 公佈嘅勒索軟件單獨宗數。釣魚電郵同惡意附件仍然係最主要入口，HKCERT 提醒唔好隨便開可疑附件，尤其係壓縮檔或者可執行檔。

香港高發手法包括假冒速遞、假冒客服、假冒政府、假冒銀行或者金融機構嘅電郵同短訊。遠端存取亦係常見入口：數碼港事件之中，黑客以撞密碼取得管理員權限帳戶，再經遠端桌面直入內網。對外暴露嘅 NAS 同邊緣裝置，例如 VPN、防火牆、路由器、遠端存取系統，都可能成為入侵閘道。呢啲背景唔係要嚇讀者，而係要說明：中招之後首 1 小時，唔好只顧住眼前部機，要同時諗下其他入口係咪都已經受影響。

香港讀者同外國讀者有一個好大嘅唔同：好多香港中小企、一人公司同家庭用家冇專職 IT，WhatsApp 傾生意、轉數快付款，同一部機就係成間公司。部機一中招，生意即刻停擺，驚「錢俾人轉走」多過驚「檔案開唔到」。所以上面嘅時間線，先講斷網同保留證據，再講報案同求助，唔係先講技術名詞。家庭用戶重心係保住相片同文件、唔好畀錢；中小企老闆重心係隔離全網、保留證據、通報。兩個重心唔同，但首 1 小時嘅動作次序一樣：止血、保命、求助。

資料來源

本文技術內容主要依據以下來源：CISA《#StopRansomware Guide》回應清單；No More Ransom 受感染指引；HKCERT 事故自助指引同事故報告表格；法證保存證據指引；Kaspersky 勒索軟件對備份同雲端同步擴散嘅說明；HKCERT《Outlook 2025》新聞稿；私隱專員公署數碼港調查報告（2024 年 4 月 2 日）；GovHK 科技罪案頁面；警務處網絡安全及科技罪案頁面。以上來源只作一般性指引參考，實際情況要經檢測先可以判斷。

FAQ：最常見問題

問：中咗勒索軟件，應唔應該即刻畀贖金？
答：唔應該。CISA 明言畀錢唔保證還原，可能助長攻擊者、資助非法活動；No More Ransom 同樣指出畀錢係資助罪犯，之後更可能再被針對。部分攻擊手法係先偷資料再威脅公開，就算畀咗錢，承諾刪除資料亦不可信。唔畀錢都仲有生路：有備份可以還原，冇備份可以查 No More Ransom 官方網站有冇對應變種嘅免費工具。

問：應該即刻關機，定係只係斷網就夠？
答：要兩派並陳。法證派主張斷網、唔關機，因為關機會清除記憶體入面嘅揮發證據，包括正在執行緊嘅程序、連線紀錄、加密金鑰等資料。實務取向（參考 CISA 回應指引的整理）指出，如果無法斷網，先可以關機阻止擴散。實務結論係首選斷網、保持開機、唔好亂㩒；如果加密進行中而又斷唔到網，關機係最後手段，並且要記低決定同埋時間。

問：備份硬碟或者 NAS 駁住咗，點算？可唔可以即刻還原？
答：唔可以即刻還原。先拔走外置硬碟，將 NAS 離線，唔好將備份駁返入受感染部機。還原之前，必須先清除惡意軟件，並且確認備份係未受感染、屬於加密發生之前嘅版本。雲端同步要先暫停，再用乾淨裝置檢查版本紀錄，唔好喺中招機上面直接還原。備份硬碟長期插住部機，同樣會被加密；備份完成之後應該即刻拔走，保持離線。

問：檔案俾人鎖咗，係咪即係冇晒？有冇免費解密工具？
答：唔係即係冇晒，但亦唔好假設一定攞得返。有備份可以還原，冇備份可以去 No More Ransom 官方網站，查詢有冇對應變種嘅免費工具；勒索訊息入面嘅資料有助識別變種。只用官方網站，唔好喺搜尋結果亂下載來歷不明嘅工具。清除病毒唔等於解密：防毒軟件可以清走惡意程式，但唔會自動解開已經加密咗嘅檔案。加密檔案應該保留，因為將來可能有新解密工具，亦可能需要做證據。

問：中咗勒索軟件要唔要報警或者通知 HKCERT？要保留咩證據？
答：要。HKCERT 提供技術支援，可以經網上事故報告表格提交報告，或者致電 24 小時熱線 8105 6060；警方處理涉及罪案嘅部分，可以親身到就近警署或者經網上報案表格提交；如果涉及個人資料外洩，機構應該盡快通報私隱專員公署同埋受影響人士。要保留嘅證據包括勒索信全文或者截圖、受感染裝置數量同埋副檔名變化、最早發現時間、懷疑感染途徑、有冇備份、係咪涉及客戶或者員工個人資料，仲有防火牆、VPN、防毒日誌，因為呢啲日誌保留期有限，要盡快保存。

需要幫手？聯絡 CentralComputer

如果你部電腦已經出現上面講嘅勒索訊息或者檔案加密跡象，第一步係斷網隔離、保留證據、唔好畀贖金、唔好急住重裝，之後歡迎聯絡我哋：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。我哋會先檢測，之後報價，等你同意先開工。保養安排請向我哋查詢。