中咗勒索軟件，唔畀贖金點還原？先判斷你嗰份備份用唔用得

檔案一夜之間全部打唔開，桌面多咗一封勒索信，限你幾日內畀錢，否則檔案永遠攞唔返。呢一刻，腦入面通常只得兩個念頭：畀錢，定係插返隻備份硬碟試下還原。兩個反應都好人性，但兩個都可能令情況更差。畀錢唔保證攞得返檔案；插備份入一部未清理嘅中毒電腦，還原出嚟嘅乾淨檔案可以即時再被加密一次。之前寫過嘅《香港勒索軟件》講勒索軟件概況，《首小時應變》講中招頭一個鐘點做，《免費解密器陷阱》講點解來歷不明嘅解密工具好危險，《雙重勒索》講資料被偷走之後嘅第二重威脅。今篇只講一個問題：中招之後，點樣唔畀贖金、靠備份同正確次序還原。

一、點解畀贖金都唔保證攞得返

美國網絡安全及基礎設施安全局（CISA）聯同聯邦調查局、國家安全局等機構發出嘅《#StopRansomware Guide》講得好白：畀贖金唔保證你嘅資料會被解密、唔保證系統同資料唔再受入侵、亦唔保證資料唔會外洩。香港電腦保安事故協調中心（HKCERT）嘅講法更加直接：佢哋冇收到過畀贖金後成功攞返資料嘅報告；攻擊者嘅指揮伺服器好可能已經被取締，就算畀咗錢都攞唔到解密匙；畀錢仲等於資助攻擊者開發更多勒索軟件，同埋向攻擊者證明呢類受害者願意畀錢。香港警方亦曾公開勸喻唔好畀贖金。呢啲唔係叫你「硬頸」，而係一個成本計算：畀錢買返嚟嘅，往往只係一個唔確定嘅機會，仲要附送「呢間公司／呢個人會畀錢」嘅標籤。所以還原攻略嘅第一步，唔係諗點畀錢，而係諗：我有冇一份攻擊者掂唔到嘅備份？

二、你嗰份備份算唔算數？睇攻擊嗰刻掂唔掂到佢

一份備份算唔算數，唔係睇佢存唔存在，而係睇攻擊發生嗰一刻，攻擊者掂唔掂到佢、改唔改到佢。算數嘅備份有幾個特徵。第一係離線或者氣隙備份：事發嗰陣已經拔線、冇掛載嘅外置硬碟，攻擊者喺網絡入面掂唔到一隻冇接駁嘅硬碟；輪換兩隻外置硬碟、一隻永遠離線，係家用同小企最實際嘅做法。第二係唔可改寫備份：事先設定咗保留期，期內任何人都刪唔到、改唔到，就算攻擊者攞到管理權都改唔到鎖定期內嘅版本——但要事先開好，事後先開係冇用嘅。第三係有版本歷史、保留期夠長嘅雲端或者異地備份，可以還原到感染之前嗰個版本，而唔係被加密之後同步上去嘅版本。第四係獨立帳戶、獨立權限管理嘅 NAS 快照：攻擊者用公司日常帳戶入侵嗰陣，掂唔到用另一組管理帳戶保護嘅快照，快照管理帳戶要同日常登入帳戶分開，最好仲要開多重驗證。

以下幾種備份，好可能已經唔算數，一定要逐份驗證先好信。事發嗰陣仍然插住嘅外置硬碟或者 USB，對作業系統嚟講只係另一個磁碟區，勒索軟件寫得到。長期掛載嘅 NAS 或者網絡共享資料夾，任何掛載到中毒電腦嘅共享都係目標；近年更有個案係攻擊者將 NAS 恢復原廠設定、刪除備份先至加密。即時同步雲端資料夾如果冇版本歷史，根本唔算備份：CISA 指南警告，本地檔案被加密之後可以同步到雲端，覆蓋原本好嘅資料。只保留最新一個版本嘅備份一樣危險：如果備份排程喺加密之後先跑，最新版本可能已經係加密咗嘅檔案，要還原到感染前嘅版本先有用。同日常帳戶共用密碼或者權限嘅備份管理員帳戶，攻擊者偷到一組管理員密碼，就等於攞到備份。業界有個 3-2-1-1-0 口訣：傳統 3-2-1（3 份副本、2 種媒介、1 份異地）再加 1 份離線或者唔可改寫副本，同埋「0」即係零錯誤——實際測試還原過、證明還原到。要講清楚，3-2-1-1-0 係業界慣用口訣，唔係 CISA 或者英國國家網絡安全中心頒布嘅官方標準；官方講嘅係離線加密備份加定期測試還原。備份概念詳情見《3-2-1 備份方案》，還原測試點做見《備份還原測試》。

判斷之前，先用六條問題做檢查表：第一，呢份備份喺攻擊嗰刻係咪離線、唔可改寫，或者用獨立帳戶保護？第二，備份時間點係咪肯定早過感染時間？唔肯定，就揀更早一個版本。第三，備份檔案本身開唔開到、解唔解到、檔案大小同數量合唔合理？記住，唔好喺中毒機上面直接開嚟試。第四，備份入面有冇混入加密咗嘅檔案？抽查幾個關鍵資料夾。第五，有冇第二份獨立備份可以交叉對照，例如雲端版本加離線硬碟？第六，全部答案都係唔肯定，就當冇可用備份處理，行第四節。

三、還原次序：先隔離、後清理、再還原、驗證乾淨先接網絡

原則只有一句：次序錯，乾淨備份都會再中。第一步係隔離：受影響裝置拔網絡線、關 Wi-Fi；公司網絡要隔離受影響電腦同共享磁碟。千祈唔好第一時間就插備份硬碟入去。第二步係保留證據：影低勒索信畫面、記低加密檔案副檔名、受影響裝置同時間。唔好刪除勒索信——辨認勒索軟件家族要靠佢。如果有公司法證或者警方調查需要，唔好急住抹機，因為調查人員可能需要裝置本身；家用冇法證需要，就可以按專業意見處理。第三步係盡量辨認家族：用勒索信內容、副檔名、加密檔案樣本，經 No More Ransom 嘅 Crypto Sheriff 工具辨認（見第四節）。辨認到唔等於有解密器，但會影響之後每一步。第四步係清理定抹機重裝，呢個決定好關鍵：只用防毒掃一次唔等於保證乾淨，攻擊者可能留低後門、排程任務、改過嘅遠端登入設定。最穩陣係抹機重裝作業系統，再由乾淨系統還原，尤其係公司多部機受影響，或者懷疑管理員密碼已經洩漏嘅情況。還原之前，千祈唔好將備份接返去未清理嘅電腦。第五步係還原次序：系統先，資料後。先重裝或者還原乾淨系統同應用程式，裝好保安更新；再還原資料檔案；先還原最關鍵、最急用嘅服務——公司先係會計或者客戶系統，家用先係證件同相片——唔好一次過全部倒返入去。CISA 指南恢復部分亦講明按關鍵服務優先次序，由離線加密備份還原，並且小心唔好喺恢復過程中重新感染乾淨系統，例如只將乾淨系統加入新開嘅隔離網絡。第六步係驗證乾淨先重新接網絡：還原後再做一次全面掃描；抽查檔案開唔開到、內容正唔正常、有冇新出現嘅加密檔案或者勒索信；先喺隔離環境觀察，確認冇異常先逐步重新接返公司網絡或者互聯網；重新接網絡之後繼續監察一段時間有冇異常登入、異常對外傳輸。

家用同中小企嘅次序重點唔同。家用一部機為主，重點係唔好喺中毒機試備份、抹機重裝最穩陣、先救證件相片，遊戲同軟件之後先慢慢裝返。中小企多部機加共享資料，要先定邊個系統先復工嘅優先次序，唔好為求快而將所有機一次過接返網絡；管理員帳戶、VPN、NAS 全部要當已經洩漏處理，見第五節。

四、冇可用備份點算：唔好畀假希望

第一條路係查免費解密器，但只查官方渠道。No More Ransom 由荷蘭警方、歐洲刑警組織歐洲網絡犯罪中心同幾間保安公司發起，協助受害者唔使畀錢攞返檔案；網站有 Crypto Sheriff 辨認工具，上載一個加密檔案（最好用非敏感檔案）加勒索信內容，協助辨認勒索軟件家族，再連結到對應嘅免費解密工具（如果有的話）。限制必須講明：解密器只針對特定家族或者特定版本；新款、設計完善嘅勒索軟件，暴力破解實際上要好長時間，解唔到；工具數目同家族數目會隨時間變，文章唔會寫具體數字，查嗰陣以官網當刻為準。解密之前要喺副本上面試，唔好直接喺唯一一份加密檔案上面試；唔好喺搜尋廣告、影片描述連結下載所謂解密器，收費解密器極可能係陷阱。冇解密器唔等於永遠冇——執法機構日後檢獲密匙、攻擊者公開密匙，都有可能令舊家族日後出現解密器，所以要保留加密檔案副本，日後再查。第二條路係影子副本或者系統還原點：值得一查，但唔好抱希望，因為好多勒索軟件會先刪除 Windows 內置快照，令「以前的版本」同系統還原失效；若執行帳戶權限不足，刪除可能只係部分成功，間中仍有殘留快照。第三條路係專業資料恢復評估：可以搵專業人員評估加密檔案本身、損壞嘅硬碟或者 NAS、被刪除嘅備份有冇得救。但界線要白紙黑字寫明：加密本身冇密匙係解唔到嘅，評估唔等於保證救得返；任何聲稱「一定解到」嘅服務都要懷疑。最壞情況要誠實交代：如果冇可用備份、冇解密器、專業評估都話救唔到，就要接受部分或者全部資料損失；下一步係保留加密檔案副本日後再查、處理資料外洩風險（如果有）、重建系統同補返備份制度，而唔係病急亂投醫去畀贖金或者買來歷不明嘅解密工具。

五、還原之後點防止再加密：封口先至算完

還原完成唔等於完事，入侵口未封，還原只係將乾淨檔案送返去一個未乾淨嘅環境再加密一次。第一，由乾淨裝置改密碼：受影響電腦用過嘅電郵、銀行、公司系統、VPN、NAS 管理員密碼全部要改；唔好喺未清理嘅電腦上面改密碼，攻擊者可能仲睇到。第二，開多重驗證，特別係 VPN、遠端登入、電郵、管理員帳戶。香港警方網絡安全及科技罪案調查科 2024 年報告指出嘅常見問題——存取控制不足、系統未更新、缺乏有效威脅偵測——正正係還原後要補嘅窿。第三，補好入侵口：更新 Windows 同應用程式、修補對外暴露嘅 VPN、防火牆、遠端桌面；唔好將遠端桌面直接暴露上互聯網；收緊管理員權限，日常用普通權限。第四，即刻補返一個事發嗰陣離線嘅備份制度：還原完成之後第一件事唔係慶祝，而係建立至少一份離線或者唔可改寫備份，並且實際做一次還原測試——未測試過嘅備份只係希望，唔係保障。第五，提醒員工或者家人：可疑電郵附件同連結唔好亂開；公司要提醒同事留意針對性釣魚，攻擊者偷到嘅資料可以用嚟扮熟人再呃人。第六，呢句要重複一次，因為係最常見嘅二次中招原因：唔好將舊備份接返去未驗證乾淨嘅網絡。

六、香港點報案同通報：分清楚邊個渠道做乜

HKCERT 係香港電腦保安事故協調中心，隸屬香港生產力促進局，接受資訊保安事故報告：網上事故報告表格喺 hkcert.org/incident-reporting，24 小時熱線 8105 6060，電郵 [email protected]。HKCERT 嘅自我協助指引亦提到，如果決定報案作警方調查，要保留電郵原文連標頭、伺服器、路由器、電腦日誌等證據。香港警務處網絡安全及科技罪案調查科（Cyber Security and Technology Crime Bureau）負責科技罪案調查；一般做法係親身去任何警署報案室，或者經警方 e-Report Centre 查詢或者報案，緊急情況打 999。GovHK 嘅分流原則好清楚：非罪案性質嘅資訊保安事故可以搵 HKCERT；懷疑係罪案先搵警方。如果懷疑涉及個人資料外洩，應該考慮向個人資料私隱專員公署通報——香港已有機構喺勒索軟件事故後向私隱專員公署作資料外洩通報；通報時限同法律責任要諮詢法律意見，本文唔會寫成法律結論。有兩樣唔好寫錯：第一，防騙易熱線 18222 屬於警方反詐騙協調中心，主要處理詐騙查詢，唔係勒索軟件報案嘅主渠道。第二，報案同通報嘅作用係調查、情報同防止更多人受害，唔係還原服務；唔好寫成「報案就一定會破案、攞得返檔案」。同樣，香港法例下畀贖金本身有冇法律後果，本文冇核實，決定之前應該諮詢專業意見。

FAQ

Q1：備份硬碟事發嗰陣插住，仲有冇得救？
唔好即刻假設冇晒，但亦唔好即刻假設仲用得。要逐份驗證：備份檔案本身開唔開到、有冇混入加密檔案、備份時間點係咪早過感染時間。驗證一定要喺乾淨裝置上面做，唔好喺中毒機上面直接開嚟試；抽查幾個關鍵資料夾先至判斷。

Q2：雲端同步資料夾算唔算備份？
只係即時同步、冇版本歷史嘅資料夾唔算。本地檔案被加密之後可以同步到雲端，覆蓋原本好嘅資料。真正算數嘅雲端備份要有版本歷史同保留期夠長，可以還原到感染之前嗰個版本。

Q3：還原要幾耐？
視乎資料量、系統規模同受影響裝置數目，本文唔會寫具體時間。公司服務方面，收費政策係檢測後報價，確認先開工，唔會亂收費；還原時間要按實際檢查先至估到。

Q4：冇備份又冇解密器，係咪即係冇晒？
現階段可以話，冇密匙嘅加密檔案解唔到；但唔等於永遠冇機會。保留加密檔案副本，日後執法機構檢獲密匙或者攻擊者公開密匙嗰陣，舊家族有機會出現解密器。同時要處理資料外洩風險（如果有）、重建系統同補返備份制度。

Q5：還原完使唔使報案？
建議報。HKCERT 接受事故報告，懷疑係罪案就搵警方，懷疑涉及個人資料外洩就考慮向私隱專員公署通報。報案唔係還原服務，但可以協助調查同防止更多人受害；報案之前記得保留勒索信同相關證據。

如果你已經中招，唔肯定邊份備份用唔用得，或者還原次序點行先至唔會二次中招，歡迎聯絡 CentralComputer 中環電腦了解情況：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：檢測後報價，確認先開工，唔會亂收費。