一部電腦中勒索軟件，點解成間公司 NAS 同共享資料夾一齊加密？擴散路徑全解

「明明只係一部機中毒，點解成間公司嘅檔案都冇晒？」呢句說話，係勒索軟件事件之後最常見嘅第一句。答案唔係「病毒好勁」，而係一個好簡單嘅機制：勒索軟件會用受感染電腦上面嗰個登入帳戶嘅權限，去加密嗰個帳戶睇得到、寫得到嘅所有地方。如果你個帳戶可以寫入 NAS、可以寫入共享資料夾、可以寫入其他電腦嘅共享位置，勒索軟件就可以沿住同一條路行過去。權限有幾闊，擴散半徑就有幾大。

呢篇唔重複舊文已經講過嘅內容：中咗之後頭一個鐘點做（見《勒索軟件首小時應對》）、免費解密工具嘅陷阱（見《免費解密陷阱》）、雙重勒索（見《雙重勒索》）、備份還原（見《備份還原》）。呢篇淨係講一件事：擴散點發生，同點樣截斷佢。

擴散路徑圖：由一部機，去到成間公司

想像一個典型香港中小企：十部左右電腦、一個 NAS、幾個共享資料夾、大家用同一個習慣登入。擴散通常係咁行：

• 第一步——入侵一部機：員工開咗一個釣魚電郵附件、撳咗一條假連結、或者用咗一個弱密碼嘅遠端登入，勒索軟件喺呢部機上面跑起。呢部機就係起點，唔係終點。
• 第二步——跟住映射磁碟機行：好多公司會將 NAS 共享資料夾映射成一個磁碟機代號（例如 Z:），等員工當成本機硬碟咁用。對勒索軟件嚟講，Z: 同 C: 冇分別——只要嗰個帳戶有寫入權，佢就會一路加密過去。員工平時「好方便」嘅設定，喺呢一刻就變成擴散高速公路。
• 第三步——跟住共享資料夾同權限行：就算冇映射磁碟機，只要部機可以經網絡存取共享資料夾（例如經檔案總管打路徑入去），勒索軟件一樣可以跟住行。重點唔係「有冇磁碟機代號」，而係「嗰個帳戶有冇寫入權」。
• 第四步——行去其他電腦：如果網絡入面有其他電腦開咗共享、或者用緊同一個管理員密碼、或者有長期登入嘅遠端連線，勒索軟件或者攻擊者就可以再行過去。呢個時候，已經唔係「一部機中毒」，而係「成個網絡受感染」。

呢度有一個關鍵誤解要拆開：好多人以為勒索軟件係「識得搵 NAS」——好似佢有張公司網絡地圖咁。其實唔係。勒索軟件唔需要地圖，佢只需要跟住嗰個帳戶本身已經有嘅路行。公司平時為咗方便而開闊嘅路，喺出事嗰陣就係擴散嘅路。

NAS 嘅四重身份：點解 NAS 特別容易一齊中招

NAS 喺中小企入面，通常同時擔任四個角色，而呢四個角色加埋，就令 NAS 成為擴散嘅最大受害者：

• 第一，共享中心：全公司檔案都放喺 NAS，大家每日都寫入寫出。只要一個有寫入權嘅帳戶中毒，NAS 上面嗰個帳戶寫得到嘅資料夾就會被加密。
• 第二，備份目的地：好多公司將 NAS 當成備份——電腦備份去 NAS。但如果備份程式用同一個帳戶、同一條路寫入 NAS，勒索軟件一樣可以跟住同一條路，將備份一齊加密。備份目的地同共享中心用同一個帳戶，就等於將保險箱同大門用同一條鎖匙。
• 第三，對外服務：有啲 NAS 會開對外存取（例如經互聯網返屋企都攞到檔案），呢個對外入口本身就係另一個入侵面。對外入口嘅帳戶如果密碼弱、冇開雙重驗證，攻擊者可以直接由外面入 NAS，完全唔使經公司電腦。
• 第四，長期登入：為咗方便，NAS 登入狀態成日長期有效、唔使成日再入密碼。長期登入嘅意思係：攻擊者一旦攞到嗰部機，就等於攞到 NAS 嘅入場券，唔使再破解一次。

所以「我哋有 NAS，應該安全」呢句說話，本身就係誤解。NAS 唔係保險箱，NAS 係一個「用帳戶權限守住嘅共享空間」——權限守得好，NAS 先至安全；權限開得闊，NAS 就係第一個陪葬品。

三個常見誤解，逐個拆

誤解一：「有快照就一定還原到。」快照係好有用嘅工具，但唔係萬能。第一，快照本身都可能被刪除——如果管理快照嘅帳戶同中毒嘅帳戶係同一個，或者快照保留期太短，加密發生之後先發現，快照可能已經冇咗或者過期。第二，快照還原之前，必須先確認擴散已經截斷，否則還原完再中毒一次。快照係還原工具，唔係擴散截斷工具，兩者唔好混為一談。

誤解二：「雲端同步等於備份。」唔等於。雲端同步嘅意思係「呢部機嘅檔案變化，會同步去雲端」——如果本機檔案被加密，同步程式好可能將「加密咗嘅版本」同步上去，覆蓋原本嘅好版本——除非雲端版本歷史仲保留住事發前嘅版本。同步唔係備份，備份嘅重點係「有一個同現時系統隔離、唔會跟住即時變化嘅副本」，例如離線外置硬碟、或者有獨立帳戶同保留期嘅備份目的地。呢個分別，喺備份還原篇已經詳細講過。

誤解三：「拔線斷網就等於搞掂。」拔線斷網係正確嘅第一步，但唔係全部。拔線只係截斷「呢部機繼續擴散」；已經加密咗嘅檔案唔會因為拔線而還原，已經行咗去 NAS 或者其他電腦嘅擴散，唔會因為你拔咗呢部機嘅線而自動停。拔線之後，仲要檢查 NAS、檢查其他電腦、檢查備份係咪乾淨，先至可以講「截斷完成」。

發現擴散之後，截斷次序點排

呢度講嘅係「業界一般做法」嘅次序，唔係保證可以救返晒所有檔案。次序嘅邏輯係：先止血，再檢查，再還原——還原永遠排最後。

• 第一，隔離受感染嘅電腦：拔網絡線、關 WiFi，唔好再俾佢接觸網絡同 NAS。唔好急住重裝或者格式化——重裝之前，資料同證據嘅問題要先諗清楚，詳情見首小時應對篇。
• 第二，隔離 NAS：將 NAS 同網絡隔離（拔網絡線或者停用共享服務），唔好喺未檢查之前就由其他電腦繼續存取 NAS。呢一步好重要：如果你一邊檢查、一邊仲有人正常用 NAS，擴散可能仲進行緊。
• 第三，檢查其他電腦：逐部檢查網絡入面嘅電腦：有冇異常檔案副檔名、有冇勒索訊息、有冇異常程序。唔好假設「得一部機中」——擴散嘅定義就係「唔止一部機」，檢查範圍要覆蓋成個網絡，唔好只檢查出事嗰部。
• 第四，檢查備份係咪乾淨：備份還原之前，要確認備份副本本身冇被加密、快照仲喺保留期內、離線副本冇接駁住受感染網絡。呢一步做唔好，還原只會將問題還原返出嚟。
• 第五，先至考慮還原：確認截斷完成、確認備份乾淨，先至按備份還原篇嘅步驟還原。還原之後，仲要再監察一段時間，睇下有冇殘留擴散。

另外，帳戶密碼應該由乾淨裝置重設，特別係電郵同管理員帳戶，否則攻擊者可以用舊憑證再入返嚟。HKCERT 亦建議唔好支付贖金：付咗唔保證攞返解密鑰匙，亦唔保證資料唔會被公開。仲有一點要講明：呢篇講嘅「檢查」，係指「睇下有冇受影響嘅跡象」，唔係指「自己落手清除勒索軟件」。清除同鑑證屬於專業工作，唔建議冇經驗嘅員工自己試——試錯嘅代價，可能係將原本仲救得返嘅證據或者檔案整冇咗。

中小企做得到嘅低成本分流：權限分開，損失分開

截斷擴散，唔一定要買好貴嘅設備。以下幾項，係中小企用現有設備都做得到嘅分流原則，重點全部都係同一個字：分開。

• 帳戶分開：日常工作帳戶同管理員帳戶分開；備份帳戶同日常帳戶分開。日常帳戶只俾佢睇到、寫到工作需要嘅資料夾，唔好俾一個帳戶寫晒全公司所有資料夾。權限分開，擴散半徑就分開。
• 共享分開：共享資料夾按部門、按需要開，唔好一個「全公司共用」資料夾裝晒所有嘢。一個資料夾被加密，損失係一個部門；全公司共用資料夾被加密，損失就係全公司。
• 備份分開：備份目的地用獨立帳戶，唔好同日常帳戶共用；最好加一個離線副本（例如定期斷開嘅外置硬碟），等網絡入面嘅擴散行唔到去離線副本嗰度。快照保留期要夠長，唔好短到加密幾日先發現就已經過期。
• 網絡分開（基本版）：訪客 WiFi 同公司內部網絡分開；唔好俾訪客裝置直接掂到 NAS 同共享資料夾。呢個係基本分流，唔使做到企業級網絡分段，已經可以擋走一類擴散路徑。
• 自查清單（定期做，頻率按公司情況訂立）：邊個帳戶可以寫入 NAS？邊個共享資料夾係「所有人都可以寫」？邊部電腦長期登入住 NAS？快照保留期係幾耐？離線備份上一次係幾時？呢五條問題答得出，先至算係對自己公司嘅擴散半徑有數。

最後要講一句誠實說話：以上措施可以縮細擴散半徑、提高還原機會，但冇任何一項可以保證「一定唔會中」或者「一定還原到」。勒索軟件防禦嘅現實係：做足分流，中咗都只係局部損失；乜都唔分，中咗就係全公司損失。分別唔在於「中唔中」，而在於「中咗之後，損失有幾大」。

FAQ

Q1：一部電腦中毒，點解 NAS 會一齊加密？係咪 NAS 本身有病毒？
唔一定係 NAS 本身中毒。最常見機制係：勒索軟件用中毒電腦上面嗰個登入帳戶嘅權限，去加密嗰個帳戶寫得到嘅 NAS 資料夾。NAS 係受害者，唔一定係起點。重點係權限有幾闊，唔係 NAS 有冇「病毒」。

Q2：我哋將 NAS 映射成 Z: 磁碟機，係咪特別危險？
映射本身唔係病毒，但佢令擴散變得特別順暢：對勒索軟件嚟講，Z: 同本機硬碟冇分別，只要帳戶有寫入權就會加密過去。就算冇映射，只要可以經網絡存取共享資料夾，一樣可以擴散——關鍵永遠係權限，唔係磁碟機代號。

Q3：有快照，係咪就唔使驚擴散？
唔係。快照可能被刪除（如果管理帳戶同中毒帳戶相同，或者保留期太短），而且還原之前必須先截斷擴散，否則還原完會再中毒。快照係還原工具，唔係截斷工具。

Q4：雲端同步有齊晒檔案，係咪等於有備份？
唔等於。同步會將本機變化同步去雲端，包括「檔案被加密」呢個變化，結果可能係加密版本覆蓋好版本。真正嘅備份要有隔離性：離線副本、或者獨立帳戶加保留期嘅備份目的地，唔會跟住即時變化。

Q5：發現一部機中毒，第一時間應該拔線定熄機？
先隔離網絡：拔網絡線、關 WiFi，截斷呢部機繼續擴散。之後再隔離 NAS、檢查其他電腦、檢查備份，最後先考慮還原。拔線係第一步，唔係全部；還原永遠排最後，唔好未截斷就急住還原。

如果你公司懷疑勒索軟件已經由一部電腦擴散去 NAS 或者共享資料夾，唔好急住還原、唔好急住畀贖金，先隔離受影響裝置，再聯絡 CentralComputer 中環電腦了解情況：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：檢測後報價，確認先開工，唔會亂收費。擴散嘅問題，重點唔係邊部機中毒，而係邊條路俾佢行咗過去——截斷條路，先至有得還原。