電腦維修 · 2026年11月4日 · ComputerKing 團隊

AI 令勒索同釣魚快咗又準咗？英國 NCSC 話 2028 年前好可能有 AI 勒索攻擊：香港中小企唔使驚，但要補返基本功

英國 NCSC 2026 年 11 月 3 日判斷，AI 惡意軟件極有可能喺 2028 年前出現於針對關鍵基礎設施嘅勒索攻擊。唔使買新工具，香港中小企先做返更新、多重驗證、最少權限、離線備份加還原驗證呢啲基本功。收費需個別報價。

重點摘要

英國國家網絡安全中心（NCSC）喺 2026 年 11 月 3 日出版年度報告《State of the Cyber Nation》，判斷喺 2028 年之前，AI 惡意軟件「極有可能」已經喺一次針對英國關鍵基礎設施嘅勒索攻擊入面出現過。重點唔係叫你驚一個未發生嘅未來事件，而係 NCSC 講明嘅因果：AI 令勒索、社交工程同搵漏洞嘅規模同效率變大，而真正嘅入口好多時仍然係舊弱點。今篇將呢個警告翻譯成香港中小企做得到嘅基本功，唔叫你買任何工具，收費需個別報價。

一、新聞講咗啲咩，同埋唔好誤讀嘅三點

先講清楚 NCSC 講咗啲咩，免得傳傳下變咗另一回事：

• 判斷本身： NCSC 判斷，喺而家到 2028 年之間，AI 惡意軟件「極有可能」喺一次針對英國關鍵國家基礎設施嘅勒索攻擊入面被使用。呢個係分級概率判斷，唔係預言，亦唔係話某一次攻擊已經發生。
• 機制： 報告話，AI 會令攻擊者嘅行動規模同效率變大，包括勒索、社交工程同利用軟件漏洞。報道引述 NCSC 負責人嘅講法：威脅唔係嚟自全新攻擊手法，而係嚟自長期被容忍嘅舊弱點。
• 背景數字： 英國政府同時公布，首階段國家 Cyber Shield 投入 6,000 萬英鎊，另一個搵全英國關鍵基礎設施弱點嘅新中心投入 7,000 萬英鎊。呢啲係英國政府層面嘅投資，唔係中小企要跟住買嘅清單。

三個誤讀要避開：第一，唔好將「英國關鍵基礎設施」自動等同「你間公司下星期就會中招」；第二，報告冇點名某一個 AI 工具或者某一個攻擊者，唔好信任何話「NCSC 點名呢個工具」嘅講法；第三，唔好將呢個警告當成買某個 AI 防護產品嘅理由，NCSC 自己強調嘅應對方向係持續投資同基本韌性，唔係一件聰明工具。

二、對香港中小企真正嘅意思：快咗、準咗、舊窿仲喺度

將英國嘅警告拉返嚟香港中小企嘅日常，意思其實好具體，分三層：

第一層：釣魚訊息會更加似真。 社交工程本來就係呃人撳掣、交資料，AI 令呢啲訊息寫得更加自然、更加針對個人或者公司。以前一眼睇得出嘅古怪英文、錯晒嘅稱呼，可能會愈嚟愈少；取而代之嘅係扮老闆、扮供應商、扮客戶嘅訊息，語氣同格式都好似真。呢個同本站第 61 篇講嘅 WhatsApp「財務文件」ZIP 陷阱、第 70 篇講嘅 ClickFix 呃人貼指令，係同一條路，只係扮得更似。

第二層：搵漏洞會更加快。 如果一個系統長期冇更新，攻擊者搵到入口嘅速度會愈嚟愈快。呢個教訓，香港用家啱啱先喺 Synology 事件入面見過：本站第 143 篇同第 147 篇講嘅 C3RB3R／.L0CK3D 浪潮，入口就係過時 DSM 嗰啲早已修補好嘅漏洞，唔係咩全新零日漏洞。AI 時代，舊窿被搵到嘅速度只會更快，唔會更慢。

第三層：中小企唔係因為細所以安全。 攻擊者用自動化方法掃全網，唔會因為你間公司細就跳過你。對中小企嚟講，真正嘅分別唔係「會唔會成為目標」，而係「出事之後有冇得還原、有冇人知點做」。

三、基本功清單：唔使買新工具，先做返呢六樣

NCSC 嘅警告，翻譯成中小企行動，就係以下六樣基本功，全部都唔使買新產品先做到：

1. 更新唔好拖。 電腦、NAS、路由器嘅保安更新要排期做，唔好因為「而家用得好地地」就無限期拖。拖得愈耐，舊窿被自動化掃到嘅機會就愈高。

2. 重要帳戶開多重驗證。 電郵、雲端硬碟、公司系統呢啲入口，淨係靠密碼已經唔夠。多重驗證係成本最低、效果最實在嘅其中一招。

3. 權限畀最少就夠。 唔好人人都有管理員權限，唔好一個共用帳戶行全公司。邊個需要睇邊啲資料，就畀邊啲，咁就算一個帳戶出事，影響範圍都有限。

4. 備份要離線、要驗還原。 備份本身唔等於安全，要好似本站第 79 篇同第 82 篇講咁：3-2-1 分工、有一份離線備份、同埋定期驗證還原得到。勒索軟件專登刪備份嘅案例，本站第 115 篇 SafePay 警示已經講過，唔好以為備份檔案喺同一個網絡入面就叫安全。

5. 可疑訊息用第二條路核實。 收到叫你撳連結、開附件、轉帳、貼指令嘅訊息，唔好喺同一條訊息入面覆實。打返去對方公開嘅電話、或者面對面問一次，呢個習慣比任何過濾器都有效。

6. 寫低出事第一小時做咩。 邊個負責斷線、邊個負責通知、邊部機唔好再開、邊份備份拎得返出嚟，事先寫低一頁紙。出事嗰陣先至諗，十居其九會做錯決定，例如急住畀贖金或者急住重裝抹走證據。俾唔俾贖金、點還原返工嘅完整討論，見本站第 66 篇同第 107 篇，今篇唔重講。

四、收到可疑訊息嗰一刻，點做先啱

好多出事都係由一個人、一下撳掣開始。收到可疑訊息嗰陣，記住「停、核、報」三個字：

• 停： 唔好撳連結、唔好開附件、唔好跟訊息入面嘅指示貼任何指令或者交任何驗證碼。
• 核： 用第二條獨立途徑核實，例如打去對方公司公開電話，或者直接問返寄件人本人。唔好用訊息入面提供嘅電話或者連結去核實，因為嗰條路可能本身就係假嘅。
• 報： 通知公司負責人或者 IT 負責人，等其他同事都知有呢類訊息流傳，唔好自己靜靜地刪咗就算。

呢三步睇落簡單，但係對付「扮得更似」嘅 AI 釣魚訊息，恰恰係最有效嘅防線：因為無論訊息寫得幾似真，第二條路核實嗰一步，騙徒都好難同時假扮埋。

五、公司點排優先：由最痛嘅入口開始

中小企資源有限，唔可能一次過做晒所有嘢，排優先次序可以咁諗：

• 先搞掂對外入口： 電郵、遠程存取、NAS 對外開放呢啲位，係最容易被自動化掃到嘅地方。對外開放得愈多，就愈要早啲檢查更新同權限。
• 先保護最重要嘅資料： 客戶資料、財務資料、合約呢啲，備份同還原驗證要排最前，唔好等到出事先發現備份還原唔到。
• 先訓練最常接觸外界嘅同事： 成日收供應商單據、客戶查詢嘅同事，遇到釣魚訊息嘅機會最高，佢哋識得「停、核、報」，成間公司嘅風險已經跌一大截。

總括嚟講，NCSC 嘅警告唔係叫香港中小企驚多兩年，而係提你：AI 令攻擊快咗準咗，但守得住嘅方法仍然係嗰啲基本功——更新、多重驗證、最少權限、離線備份加還原驗證、同埋第二條路核實。呢啲嘢今日做得返，唔使等到 2028 年。

常見問題

問：NCSC 話 2028 年前「極有可能」有 AI 勒索攻擊，係咪即係話一定會發生？

答：唔係。呢個係 NCSC 嘅分級概率判斷，唔係預言，亦唔係話某一次攻擊已經發生。報告亦冇點名某一個 AI 工具或者某一個攻擊者。正確理解係：風險方向係向上，值得而家補基本功，而唔係等到出事先反應。

問：我間公司好細，又唔係英國關鍵基礎設施，呢個警告同我有咩關係？

答：關係在於機制，唔在於目標名單。AI 令釣魚寫得更似真、令搵舊漏洞更快，而自動化掃描唔會因為公司細就跳過你。對中小企嚟講，重點係出事之後有冇離線備份還原得到、有冇人知第一小時點做，呢啲同公司大細無關。

問：係咪要買 AI 防護產品先擋到 AI 攻擊？

答：唔係。NCSC 強調嘅應對方向係持續投資同基本韌性，唔係一件聰明工具。今篇列出嘅六樣基本功——更新、多重驗證、最少權限、離線備份加還原驗證、第二條路核實、出事第一小時清單——全部唔使買新產品先做到，而且對非 AI 攻擊一樣有效。

問：收到扮老闆或者扮供應商嘅訊息，點分真假最穩陣？

答：唔好喺同一條訊息入面核實。用第二條獨立途徑：打去對方公開嘅電話、或者面對面問一次。無論訊息寫得幾似真，騙徒都好難同時假扮埋第二條路。撳連結、開附件、貼指令、交驗證碼之前，停一停先核實，已經擋到絕大部分釣魚訊息。