什麼是勒索軟件？定義、運作原理及防範方法

重點摘要

1. 對你公司的風險：一次勒索軟件攻擊可令業務停頓數天，客戶與員工資料外洩，並同時牽涉報警、私隱及監管通報。
2. 勒索軟件是加密檔案再索取贖金的惡意程式；現時多數集團會先偷取資料，所以單靠備份不能完全解除威脅。
3. 主要入侵途徑包括釣魚電郵、對外開放的遙距登入、未修補的防火牆、VPN 與 NAS，以及被盜密碼。
4. 四個習慣可擋下大部分攻擊：盡快更新、全面啟用多重認證、保留一份離線且獨立登入的備份、員工及早舉報可疑電郵。
5. 一旦中招：中斷受影響電腦的網絡但不要關機，保存證據，並致電 HKCERT（8105 6060）及報警。

星期一早上九時，全公司同事都打不開 Excel。每個檔案的副檔名都變了，伺服器上多了一份文字檔：「你的資料已被複製，七日內不付款便會公開。」

這就是勒索軟件。以下會說明它是什麼、怎樣入侵，以及你本星期就可以做的防範工作。

什麼是勒索軟件？

勒索軟件（Ransomware）是一種惡意程式，會把公司的檔案和系統加密或鎖起，然後要求以加密貨幣支付贖金換取解鎖鑰匙。現時大部分集團在加密前已先偷走資料，並威脅公開，因此即使備份完好，壓力仍然存在。

可以把它想像成一個闖入辦公室的竊賊：他換掉所有門鎖，臨走前影印了整個文件櫃，再留下一張寫著價錢的字條。

勒索軟件早已企業化。在「勒索軟件即服務」（RaaS）模式下，開發者把工具租給「加盟者」，由後者負責入侵，再按比例分贓，詳見 HKCERT 的齊抗勒索軟件專頁。

根據警方網絡安全及科技罪案調查科《2025 網絡安全報告》，2025 年全港共錄得 31,571 宗科技罪案，其中 43 宗為勒索軟件案件。這只是向警方舉報的數字。

勒索軟件如何運作？

一次典型攻擊分五步：先入侵，再在網絡內潛伏數日至數星期，複製有價值的資料，刪除或停用備份，最後在晚上或週末一次過加密所有檔案，趁人手最少的時候出擊，令公司措手不及。

香港例子：2026 年 6 月，老字號餅店奇華表示內部網絡系統遭勒索軟件攻擊，員工、業務夥伴、網店客戶及會員資料可能受影響。公司已通知私隱專員公署並報警，門市則照常營業（《英文虎報》，2026 年 6 月）。

攻擊的五個階段

1. 入侵：利用被盜密碼、釣魚電郵或未修補的對外設備。
2. 橫向移動：收集管理員密碼，摸清檔案伺服器、電郵及備份位置。
3. 偷取：複製客戶名單、合約、人事及財務檔案。
4. 破壞：刪除備份，關閉防毒及保安工具。
5. 加密及勒索：鎖起檔案，留下贖金字條及限期。

所有常見入侵途徑

1. 釣魚電郵附件或連結，安裝惡意程式或騙取密碼
2. 遙距桌面（RDP）、VPN 或遙距支援工具直接開放上網，而密碼薄弱或重複使用
3. 未修補的防火牆、VPN 閘道及 NAS 網絡儲存裝置
4. 員工電腦中了資訊竊取程式，密碼被放上網出售
5. IT 供應商的遙距存取權限被濫用
6. 盜版軟件、假瀏覽器更新及受感染的 USB 手指

警方檢視 2025 年事故後指出，遙距存取服務和邊界設備仍是最主要的入侵途徑；備份系統若與正式系統共用同一套登入，往往會一併被毀（《2025 網絡安全報告》）。HKCERT 亦曾呼籲遙距存取工具及 NAS 用戶提防勒索軟件。

勒索軟件有哪些類型？

勒索軟件主要分四類：加密檔案的加密型、鎖住整部裝置的鎖屏型、先偷資料再加密的雙重勒索，以及完全不加密、只以公開資料作要脅的純資料勒索。現時新聞所見的個案，大多屬於雙重勒索。

類型	做法	對公司的影響
加密型	加密檔案及資料庫	要從備份還原或取得鑰匙，業務才可恢復
鎖屏型	鎖住螢幕或整部裝置	較少針對伺服器，但仍會癱瘓個別電腦
雙重勒索	先偷資料，再加密	即使備份完好，仍要面對外洩威脅及私隱責任
純資料勒索	只偷資料，不加密	系統照常運作，但客戶及監管機構可能仍須知情

因此，管理層要問的問題已由「我們能否還原？」變成「對方拿走了什麼？」

怎樣識別勒索軟件入侵？

最明顯的警號是檔案突然打不開、副檔名變成陌生字串，並出現贖金字條。較早期的警號則較隱蔽：多了不明管理員帳戶、防毒被關閉、備份失敗，以及非辦公時間出現大量數據上傳。

1. 出現新的或不明來歷的管理員帳戶
2. 多部電腦的防毒或端點保護同時被停用
3. 備份工作失敗，或備份檔案被刪除
4. 深夜或週末出現大量數據傳出
5. 同事收到並非自己申請的重設密碼電郵或多重認證提示
6. 大量檔案被改名，每個資料夾都多了一份文字檔

只要見到早期警號，就應立即當作事故處理。加密通常是攻擊的最後一步，及早察覺便能爭取時間。

怎樣防範勒索軟件？

防範的核心是四個習慣：系統盡快更新、所有登入啟用多重認證、至少保留一份離線而且用獨立登入的備份、員工見到可疑電郵立即舉報。這些措施成本不高，大部分事故都源於一個被遺忘的例外，例如舊的遙距登入帳戶。

個人：手機及電腦設定

1. iPhone 自動更新：設定 → 一般 → 軟件更新 → 自動更新 → 開啟「iOS 更新」
2. iPhone 備份：設定 → [你的名稱] → iCloud → iCloud 備份 → 開啟「備份此 iPhone」
3. Android 更新：設定 → 系統 → 軟件更新（Samsung：設定 → 軟件更新 → 透過 Wi-Fi 自動下載）
4. Android 備份：設定 → 系統 → 備份 → 開啟「Google One 備份」
5. Windows 11 電腦：設定 → 隱私權與安全性 → Windows 安全性 → 病毒與威脅防護 → 勒索軟體防護 → 開啟「受控資料夾存取」

以上路徑整理於 2026 年 11 月，選單名稱會因系統版本及手機品牌而略有不同。

中小企及 IT 團隊

1. 關閉對外開放的遙距桌面，遙距存取一律經 VPN 並啟用多重認證（MFA）
2. 防火牆、VPN 閘道及 NAS 一旦有嚴重漏洞修補，數日內完成更新
3. 遵守 3-2-1 備份原則：三份副本、兩種媒介、一份離線或不可更改，並使用獨立登入
4. 每季實際還原一次，而不只是確認備份工作成功
5. 同事使用一般帳戶，管理員權限只交給指定 IT 人員
6. 保安日誌最少保留 90 日；警方指出日誌不足嚴重拖慢 2025 年的調查
7. 每年最少一次由獨立人員測試對外系統，因為警方把攻擊面管理列為首要防線

公司情境：「老闆」急要轉帳

勒索集團入侵後，往往先閱讀公司郵箱數星期。有些會利用真實發票，向客戶發出「更改收款戶口」通知；有些則冒充董事，要求財務部「低調處理」，急速轉帳。

公司規則：任何更改收款戶口或緊急付款要求，財務部必須先以公司紀錄中的電話號碼致電核實，絕不使用訊息內提供的號碼。是否支付贖金，只可由董事會在法律意見下決定，不能由一人拍板。

可直接轉發的員工通知

【IT 通知】勒索軟件警報：即使是熟人寄來的意外附件或「發票」連結，也請不要開啟。
如檔案打不開或副檔名突然改變：立即拔除網線或關閉 Wi-Fi，切勿關機，並馬上致電 IT（[內線號碼]）。
財務同事：任何更改銀行戶口的要求，必須以公司已有的電話號碼致電核實。
謝謝合作。

60 秒自我檢查清單

1. 遙距桌面是否已對外關閉？
2. 所有電郵及遙距登入帳戶是否已啟用多重認證？
3. 是否最少有一份離線、用獨立登入的備份？
4. 過去 90 日是否真的從備份還原過檔案？
5. 同事是否清楚檔案打不開時應該致電誰？

中了勒索軟件應該怎樣做？

第一步是隔離：把受影響電腦斷網，但不要關機，然後通知 IT 負責人。接著保存證據、確認備份是否完好，並向警方及 HKCERT 求助。在與攻擊者有任何接觸或決定是否付款之前，先取得法律意見。

1. 隔離：拔除網線、關閉 Wi-Fi、中斷共用磁碟。不要關機，因為記憶體可能留有證據。
2. 保存證據：拍下贖金字條及螢幕畫面，暫時不要清除或重裝任何系統。
3. 保護帳戶：用一部乾淨的裝置，重設管理員、電郵及遙距登入密碼。
4. 求助：報警（緊急時致電 999），並致電 HKCERT 24 小時熱線 8105 6060。
5. 個人資料：如客戶或員工資料可能外洩，評估是否通知個人資料私隱專員公署及受影響人士。
6. 關鍵基礎設施營運者：根據第 653 章，嚴重事故須在知悉後 12 小時內通報，其他事故則為 48 小時內。
7. 尋找免費解密工具：部分較舊的勒索軟件，可在 No More Ransom 找到免費解密工具。

小心主動聯絡你、聲稱可「追回資料或款項」的人。HKCERT 在 2026 年 5 月已警告有假網站冒充警方反詐騙協調中心（HKCERT 警報）。可疑電話或網站可用「防騙視伏器」查核，或致電「防騙易」熱線 18222（反詐騙協調中心）。

勒索軟件與其他惡意程式有何分別？

勒索軟件屬於惡意程式的一種，但大部分惡意程式並非勒索軟件。病毒、木馬和間諜程式通常盡量隱藏，靜靜偷取或破壞資料；勒索軟件卻希望被你發現，因為它的生意模式建基於你看到字條並付款，所以會即時令業務停頓。

兩者其實互相關連。今天靜靜盜取已儲存密碼的資訊竊取程式，往往就是下個月勒索集團的入口。因此，及早清理看似「輕微」的惡意程式感染，本身已是防範勒索軟件的一環。

勒索軟件是業務持續風險，不只是 IT 問題

勒索軟件之所以得逞，通常是幾個小漏洞剛好連成一線：一個開放的遙距登入、一部未更新的設備、一份與其他系統共用密碼的備份。堵住這些漏洞，預先演練事故的第一小時，再給財務部一條簡單的核實規則。

沒有公司可以做到完全無法被攻擊，但你可以令攻擊者覺得你比下一家公司更慢、更麻煩、更無利可圖，這通常已經足夠。

趕在攻擊者之前，找出公司的漏洞

勒索軟件幾乎都是從本可及早發現的缺口入侵：外露的登入、未修補的設備、薄弱的內部權限。滲透測試由持證白帽黑客在協定範圍內模擬這些攻擊路徑，按風險排列修補清單，修補後再重測確認。

預約滲透測試

常見問題

公司應否支付贖金？

包括 HKCERT 在內的保安機構一般不建議付款。付款不保證取得可用的鑰匙，也不保證被盜資料會被刪除，更會資助日後的攻擊。任何決定都應與法律顧問及保險公司商討。

只靠防毒軟件能否擋住勒索軟件？

不能。防毒軟件有幫助，但攻擊者常以被盜密碼登入，並先關閉防毒。你仍需要多重認證、及時更新、離線備份，以及監察異常活動。

不付款能否救回被加密的檔案？

有時可以。首先從乾淨的離線備份還原；部分較舊的勒索軟件，可在執法機構與保安公司合辦的 No More Ransom 網站找到免費解密工具。

網絡保險是否涵蓋勒索軟件攻擊？

不少保單涵蓋事故應變及業務中斷損失，但條款各有不同，保險公司通常要求已啟用多重認證及備份。請在事故發生前確認保單內容及通報限期。

相關文章

1. 一次勒索軟件攻擊，為什麼可以變成港幣 210 萬元的監管代價？
2. 網絡釣魚是什麼？香港常見例子與防範指南
3. 香港滲透測試收費多少？2026 年 AI 時代預算指南