香港勒索軟件／病毒：中咗點算、點解唔好畀贖金、頭幾步做啱先救到檔案

香港勒索軟件／病毒：中咗點算、點解唔好畀贖金、頭幾步做啱先救到檔案

做緊嘢嗰陣，屏幕突然彈出勒索訊息，話你啲檔案已經被加密，要畀贖金先攞得返；或者檔案副檔名突然變晒，點撳都開唔到。呢一刻，讀者真正嘅問題唔係技術名詞，而係：「啲檔案仲喺唔喺度？而家即刻做咩先唔會更衰？」

先講用語：官方同 HKCERT 多數用「勒索軟件」；市民口語常講「勒索病毒」「中病毒」，同指一類威脅。文章首次說明之後，正文主詞一律用「勒索軟件」。仲有一個區分好重要：清除病毒唔等於解密檔案。就算惡意程式清走咗，已經加密咗嘅檔案唔會自動變返開得到。

最重要嘅結論先講：懷疑中咗勒索軟件，第一步係斷網隔離，唔好畀贖金，保留證據，唔好急住重裝，之後報案求助。以下內容係一般性指引，唔能夠代替親身檢測；實際情況要經檢測先可以判斷。

先分流：三種情況，唔好一概而論

「中招」有三種常見情況，分流錯，處理就會錯：

• 假警告／嚇人軟件：瀏覽器或者屏幕彈出警告，話你部機中咗毒、要即刻打某個電話或者下載某個工具。檔案本身未必有事，目的係嚇你等你上當。唔好撳入面任何連結或者電話號碼，唔好下載佢叫你裝嘅嘢。
• 屏幕鎖定型：成個屏幕被鎖住，開唔到桌面，但檔案未必已經被加密。唔好亂撳，唔好喺鎖定畫面輸入密碼或者付款資料。
• 檔案加密型：檔案副檔名改變、開唔到，附帶勒索訊息。呢種係最嚴重嘅一種，處理次序尤其重要。

三種情況可以重疊，唔係非此即彼。唔肯定就停手，搵專業人員檢測。例如同一攻擊可以同時鎖屏加加密，或者先假警告再加密，唔好憑一個畫面就自行定性。

頭六步：次序唔可以調亂

以下六步，次序固定，唔好調亂：

第一步：即刻斷網隔離。拔網絡線、關 Wi-Fi、停用雲端同步、拔除外置儲存裝置；同一網絡其他電腦一併隔離。斷網嘅目的係阻止加密擴散去其他電腦、伺服器同雲端。俾家庭同小店讀者嘅講法係「拔除網絡線、關閉 Wi-Fi」，唔使理會企業環境嘅交換器操作。

第二步：保留證據。影低勒索訊息、記低檔案副檔名同發現時間，唔好刪除可疑檔案。證據對報案同之後檢測都有用，刪除咗就補唔返。

第三步：唔好畀贖金，唔好同攻擊者討價還價。原因喺下一節詳細講。唔好聯絡攻擊者，唔好按訊息入面嘅連結去任何付款頁。

第四步：唔好急住重裝／格式化。重裝會銷毀解密所需資料同證據。好多人以為「重裝就乾淨晒」，但重裝之後，加密咗嘅檔案唔會變返，解密機會反而冇埋。

第五步：用另一部乾淨裝置聯絡銀行、報警／聯絡 HKCERT。如懷疑金錢受影響（例如銀行資料可能外洩、已經轉帳），即刻用另一部已確認乾淨嘅裝置聯絡銀行。報案同求助渠道見下面「報案求助」一節。切記：唔好喺中招嗰部機上面登入任何重要帳戶。

第六步：尋求專業檢測，清理惡意軟件後，確認備份乾淨先還原。清理同還原之前，要先確認備份未受感染、屬加密發生之前嘅離線版本，並經掃描確認乾淨先還原；備份本身亦有可能受波及，唔好承諾一定還原到。

關於「應唔應該即刻關機」，坊間有唔同意見，冇一個適用所有情況嘅絕對答案。關機可能遺失記憶體內嘅鑑證資料，保持開機則有加密繼續嘅風險。如唔肯定，唔好擅自做破壞性操作，先保留勒索訊息證據並尋求專業檢測。

救檔案：五條路，逐條講條件

中咗勒索軟件之後，救檔案有五條路，每條都有條件，唔好將希望押喺單一條路：

• 乾淨離線備份還原：最可靠嘅一條路，但條件好嚴格。備份必須係未受感染、屬加密發生之前嘅離線版本，並經掃描確認乾淨先還原。備份本身亦有可能受波及，唔好承諾一定還原到。
• No More Ransom 官方網站免費解密工具：可以到 No More Ransom 官方網站（nomoreransom.org）查有無對應嘅免費解密工具。但解密工具唔保證可以成功還原檔案，未必適用於所有勒索軟件品種，新型變種多數未有公開解密工具。只用官方網站，唔好喺搜尋結果亂下載來歷不明工具，唔好亂試坊間不明解密服務。
• 卷影副本／系統還原點：有機會殘留中招前版本，但唔保證有。好多勒索軟件會主動刪除卷影副本同備份，所以唔好將希望押喺呢條路。任何還原操作之前，應先保留證據，經檢測評估後先決定，唔好自行喺原機亂試。
• 雲端版本紀錄：如果有用雲端同步，停用同步之後，檢查雲端版本歷史有無加密之前嘅版本。但要留意，同步本身可能已經將加密版本同步上雲端，所以必須先停同步、再逐個版本檢查，唔好喺中招機上面直接還原。
• 專業檢測同保留加密檔案：唔好刪除加密檔案。將來可能有新解密工具，亦可能需要做證據。專業檢測可以判斷感染範圍、備份係咪乾淨、同埋下一步點行。

畀唔畀贖金：點解唔好畀

HKCERT 唔建議繳付贖金；FBI／CISA 亦強烈勸阻。原因有幾個：

• 唔保證還原：畀咗贖金，攻擊者唔一定畀解密工具；就算畀咗，解密亦唔一定成功，檔案亦唔一定完整。
• 鼓勵更多攻擊：付款證明呢種手法有效，會鼓勵攻擊者繼續針對其他人。
• 曾有個案畀錢後被要求再畀：據相關警示，曾有受害人畀錢後被要求再畀一次。呢個係曾有個案，唔好當成普遍規律，但足以證明「畀錢就完事」係幻想。
• 雙重勒索：好多勒索軟件唔止加密，仲會先偷走資料，再威脅公開。所以有乾淨、離線、已測試還原嘅備份，可以減低被勒索訊息牽住走嘅風險；但如資料喺加密之前已被偷走，外洩威脅仍然存在，仍需保留證據、報案同徵詢專業意見，唔好當成事件完結。
• 制裁風險：據美國財政部 OFAC 於 2020 年 10 月發出嘅警示嘅相關分析，為受害人促成勒索軟件付款嘅公司，可能涉及 OFAC 規例之下嘅制裁風險。呢個係美國財政部警示，唔好當成香港法例；香港用家應先徵詢法律意見。

報案求助：香港渠道

中咗勒索軟件，報案同求助唔係「做樣」，而係保留證據、防止擴散、同埋令執法部門掌握趨勢：

• HKCERT：24 小時熱線 8105 6060，亦可經 HKCERT 網站填寫網上表格報告事故。HKCERT 會就技術層面提供意見。
• 警方：如懷疑涉及騙案或者金錢損失，可向警方報案；如有懷疑詐騙，可致電警方防騙易熱線 18222 查詢。
• 銀行：如懷疑銀行帳戶、信用卡或者轉帳資料受影響，即刻用另一部乾淨裝置，經銀行官方熱線聯絡銀行。唔好喺中招機上面登入網上銀行。
• 資料外洩通報：如涉及個人資料外洩，現行屬自願通報，機構應盡快通報私隱公署同受影響人士；政府已建議修例引入強制通報，詳情以政府公佈為準。

要講清楚：報案唔等於即刻攞得返檔案。報案係為咗保留證據、防止更多人受害、同埋喺有需要時取得執法部門協助，唔係即刻還原檔案嘅按鈕。

據私隱公署公開調查報告，過去曾有本地機構因欠缺多因素認證同修補管理而導致大量資料外洩。教訓好清楚：預防做唔足，出事嗰陣先補救，代價大得多。以下公開事件只作教訓參考，唔係 CentralComputer 處理過嘅個案。

香港實況：釣魚係主要入口

點解香港人特別容易中招？睇 HKCERT 公開數字就知釣魚有幾猖獗。HKCERT 公開統計顯示，2026 年上半年接獲保安事故報告共 8,358 宗，當中釣魚佔 5,305 宗，約 63%；2025 年全年接獲 15,877 宗，當中釣魚佔約 57%。兩個數字統計期唔同，唔好撈埋一齊睇。仲有一個重點：HKCERT 公開統計以釣魚、惡意軟件、殭屍網絡等分類為主，未有單獨公布香港勒索軟件宗數，唔好將任何 HKCERT 分類數字當成勒索軟件宗數。

香港高發手法包括：假冒速遞、假冒客服、假冒政府、假冒銀行或者金融機構嘅電郵同短訊。警方曾提醒，電子交通告票短訊及電郵唔附超連結，市民應該自行進入官方平台查詢，唔好撳可疑訊息入面嘅連結。呢個原則放諸所有官方訊息都啱：真嘅官方訊息唔會叫你撳連結去輸入密碼或者付款資料。

香港讀者同外國讀者有一個好大嘅唔同：好多香港中小企、一人公司同家庭用家冇專職 IT，WhatsApp 傾生意、轉數快付款，同一部機就係成間公司。部機一中招，生意即刻停擺，驚「錢俾人轉走」多過驚「檔案開唔到」。所以上面嘅頭六步，先講斷網同保留證據，再講報案同求助，唔係先講技術名詞。

預防清單：出事前做晒

預防只能減低風險，唔能夠保證唔會中招。但以下清單，全部都係出事前先做到，出事之後先做就太遲：

• 備份 3-2-1（業界一般做法）：3 份副本、2 種媒介、1 份離線或者異地存放。備份完成之後要離線，唔好長插喺部機上面；定期測試還原，確認備份真係還原到；雲端同步要開版本紀錄。詳細做法可以睇：3-2-1 備份原則詳解。
• 更新系統同軟件：作業系統、瀏覽器、防毒軟件保持更新，修補已知漏洞。唔好因為怕麻煩而長期拖住唔更新。
• 釣魚識別：唔好撳可疑連結，唔好開來歷不明附件，核實發件人身份。收到「轉帳指令」「改付款帳戶」呢類訊息，必須經獨立渠道二次核實，唔好喺同一個對話入面覆一句就照做。
• 多因素認證（MFA）：重要帳戶啟用多因素認證（MFA）。業界文章指出，短訊驗證碼亦有被繞過嘅個案，建議優先使用驗證器應用程式或者硬件保安金鑰等較強方式。事後改密碼同啟用多因素認證（MFA），必須用另一部已確認乾淨嘅裝置做，唔好喺中招嗰部機上面登入任何重要帳戶。
• 遠端存取收緊：唔好長期開住遠端桌面（RDP）或者遠端存取，唔用就關；必須用嘅，要用強密碼、限制存取來源、停用預設帳戶同不必要嘅通訊協定。
• 權限最小化：日常帳戶唔好用最高權限，員工只擁有工作所需嘅最低權限，避免一人中毒全公司遭殃。
• 唔好用盜版、來歷不明軟件：假更新、盜版軟件同來歷不明下載，係勒索軟件常見入口之一。

相關文章：3-2-1 備份原則詳解、SSD 故障先兆。

資料來源（延伸閱讀）：HKCERT、香港警務處、個人資料私隱專員公署、No More Ransom、CISA、FBI。

FAQ：最常見問題

問：中咗勒索軟件，第一步做咩？
答：第一步係斷網隔離：拔網絡線、關 Wi-Fi、停用雲端同步、拔除外置儲存，同一網絡其他電腦一併隔離。之後保留證據、唔好畀贖金、唔好急住重裝，再用另一部乾淨裝置聯絡銀行、報警或者聯絡 HKCERT。次序唔好調亂。

問：畀咗贖金，係咪一定攞返檔案？
答：唔係。畀咗贖金唔保證畀到解密工具，解密亦唔一定成功，檔案亦唔一定完整。仲有雙重勒索：就算還原到檔案，已經被偷走嘅資料仍然可能被公開。所以 HKCERT 唔建議繳付贖金，FBI／CISA 亦強烈勸阻。

問：重裝系統係咪最快解決？
答：唔係。重裝會銷毀解密所需資料同證據，而且加密咗嘅檔案唔會因為重裝而變返。正確做法係先斷網、保留證據、尋求專業檢測，清理之後確認備份乾淨先還原。

問：點知自己係真係中咗勒索軟件，定只係假警告？
答：假警告通常只係瀏覽器或者屏幕彈出嚇人訊息，檔案本身未必有事；檔案加密型就會見到副檔名改變、檔案開唔到、附帶勒索訊息。三種情況可以重疊，唔肯定就停手，搵專業人員檢測，唔好自行定性。

問：點解有備份都仲要報案？送修要幾錢？
答：因為有備份還原到檔案，唔等於事件完結。資料可能已經被偷走，外洩威脅仍然存在，仍需保留證據、報案同徵詢專業意見。收費方面，我哋用檢測後報價，唔會喺未檢測前報實價，因為受感染範圍、系統狀況、有無備份都會影響處理工序，未檢測報唔到實價。

需要幫手？聯絡 CentralComputer

如果你部電腦已經出現上面講嘅勒索訊息或者檔案加密跡象，第一步係斷網隔離、保留證據、唔好畀贖金、唔好急住重裝，之後歡迎聯絡我哋：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。我哋會先檢測，之後報價，等你同意先開工。保養安排請向我哋查詢。