勒索軟件（ransomware）是一種惡意軟件，會把企業的檔案和系統加密或鎖住，令它們無法使用，再要求受害者付款換取解密金鑰。現時不少攻擊會先複製資料，加密後再威脅公開。對中小企來說，這可能代表一連幾天無法使用會計檔案、客戶紀錄或共用硬碟。
攻擊者通常先入侵，在系統內四處查看，盡量取走資料，最後才在盡可能多的電腦上啟動加密。換言之，防守一方其實有好幾次機會截停攻擊。
勒索軟件通常從哪裏入侵
- 釣魚電郵：惡意附件或指向假登入頁面的連結，讓攻擊者取得員工帳戶或手提電腦的控制權。
- 對外開放的遠端存取：可從互聯網直接連上的遠端桌面（RDP）、VPN 或遙距支援工具，尤其是密碼薄弱或沒有第二重驗證的情況。
- 未修補的系統：防火牆、VPN 設備、伺服器、網站或外掛程式中的已知漏洞，修補程式早已推出卻未安裝。
- 被盜或重用的密碼：從其他服務外洩、被猜中或經釣魚取得的登入資料，被用來冒充真正用戶登入。
「雙重勒索」是甚麼
在雙重勒索中，攻擊者會先把資料複製出去，例如客戶資料、合約或人事檔案，然後同時以「恢復存取」和「不公開資料」兩件事要求付款。所以即使備份做得好，也不能消除全部風險：系統可以還原，被盜的資料仍可能外洩。
如何降低風險
沒有單一工具可以阻止勒索軟件。以下措施可以增加入侵難度、限制擴散範圍，並令復原成為可能。
- 盡快修補：持續更新作業系統、防火牆、VPN、伺服器和網站軟件，先處理對外開放的系統。詳見修補程式管理。
- 啟用多重身份驗證：電郵、遠端存取、雲端管理後台和財務系統都應要求 MFA，即使密碼被盜也不足以登入。
- 關閉或保護遠端存取：不要讓 RDP 直接暴露在互聯網上；遠端存取應放在設有 MFA 的 VPN 或閘道之後，並刪除不再需要的帳戶。
- 使用強而獨特的密碼：密碼管理工具能讓員工實際做到這一點。
- 最小權限原則：人員和服務帳戶只獲得工作所需的權限，管理員權限與日常帳戶分開。角色權限管理（RBAC）和零信任的做法，有助限制單一被入侵帳戶能觸及的範圍。
- 保留離線或不可變更的備份：重要資料至少要有一份勒索軟件接觸不到、也改不了的副本，例如已拔除連接的硬碟，或具備不可變更或版本鎖定功能的備份服務，並定期測試還原。從未還原過的備份只是假設，不是計劃。
- 過濾電郵：善用電郵平台的過濾功能攔截惡意附件和連結，並設定 SPF、DKIM 和 DMARC，令別人更難冒充你的域名。
- 培訓員工：定期作簡短提醒，教員工識別釣魚電郵，並提供清晰、不追究責任的途徑，讓他們盡快報告可疑電郵或誤按連結。
- 測試防禦：滲透測試可以在攻擊者發現之前，找出哪些系統暴露在外。
受襲後該怎樣做
事先擬定並取得共識的簡單書面計劃，有助員工在最初幾小時保持冷靜。
- 隔離受影響的裝置：中斷網絡連接（拔掉網線、關閉 Wi-Fi），減慢擴散。未獲建議前不要把所有電腦關機，否則部分證據可能消失。
- 暫時不要清除或重裝：保留勒索字條、日誌和受影響電腦的原狀，直至 IT 服務供應商或事故應變人員檢查過。
- 聯絡 IT 服務供應商：他們可協助確定受影響範圍、檢查備份是否完好，並規劃乾淨的還原。
- 用乾淨的裝置更改登入資料：重設電郵、管理員和遠端存取帳戶的密碼，並檢查 MFA 設定。
- 報案：向香港警務處報告事件，並可考慮聯絡香港電腦保安事故協調中心（HKCERT）尋求指引。請使用他們官方網站公布的聯絡方法。
- 檢查個人資料方面的責任：如個人資料可能已被存取，請向法律或合規顧問查詢是否需要通知個人資料私隱專員公署（PCPD）及受影響人士。
常見問題
應該支付贖金嗎？
執法和網絡安全機構一般建議不要付款。付款不保證能取得有效的解密金鑰，不保證被盜資料會被刪除，也不保證日後不會再成為目標。任何決定都應與事故應變人員和顧問商討，不要獨自與攻擊者談判。
雲端儲存能保護我們免受勒索軟件影響嗎？
不一定。同步資料夾可能把已加密的檔案上載，覆蓋原本完好的版本；攻擊者取得雲端管理員登入資料後，也可以刪除資料。請確認服務是否提供可用作還原的版本紀錄或保留設定，以 MFA 保護管理員帳戶，並另外保留一份獨立備份。
有防毒軟件就足夠嗎？
端點防護有幫助，但攻擊者常用盜來的登入資料和正當工具，防毒軟件未必會發出警告。它要配合修補、MFA、最小權限和經測試的備份，效果才最好。
小型企業真的會成為目標嗎？
不少攻擊並非針對特定公司：自動掃描會尋找任何對外開放的遠端存取或未修補的系統，不論公司規模。小型公司的防禦往往較少，反而可能更容易成為目標。
如需協助檢視系統暴露情況、備份和應變計劃，請參閱我們的網絡安全及合規服務。