電腦維修 · 2026年10月25日 · ComputerKing 團隊
勒索軟件中招之後點樣返工：還原定重裝、密碼點重設、重開之前驗咩
中咗勒索軟件之後，最危險嘅一步唔係第一次斷網，而係太心急返工。部機未確認乾淨就還原資料、舊密碼照用、一次過開返晒所有電腦，好容易令問題返轉頭。呢篇講中招之後嘅復原次序：先確認乾淨，再決定還原定重裝，之後重設密碼同權限，最後分批重開、逐部驗。次序行啱，返工先至穩陣。
重點摘要
中咗勒索軟件之後，最危險嘅一步唔係第一次斷網，而係太心急返工。部機未確認乾淨就還原資料、舊密碼照用、一次過開返晒所有電腦，好容易令問題返轉頭。呢篇講中招之後嘅復原次序：先確認乾淨，再決定還原定重裝，之後重設密碼同權限，最後分批重開、逐部驗。次序行啱，返工先至穩陣。
呢篇講咩，唔講咩
中招第一時間要做嘅六步——斷網、唔熄機、唔插外置儲存、影低勒索畫面、保留加密檔案、唔俾贖金——已經喺另一篇講晒，呢篇唔會重複。想睇第一時間應急，請先睇〈勒索軟件中招第一秒做咩〉（https://www.computerking.hk/blog/ransomware-protection-guide/）。
呢篇只講第一時間之後嘅事：部機隔離咗、證據留低咗，下一步點樣由「停咗工」行返去「正常返工」，而又唔好將未清乾淨嘅問題帶返入日常系統。無論你係屋企一部機，定係公司幾部機，次序都係一樣：乾淨先，返工後。
第一原則：乾淨先，返工後
好多人中招之後最想做嘅事，就係即刻還原備份、即刻開返工。呢個心態最危險。備份還原本身唔會令部機變乾淨；如果部機入面仲有惡意程式匿埋，還原返嚟嘅檔案一樣可以再出事，或者還原過程本身就將問題帶去其他裝置。
所以復原第一步，唔係還原，而係確認：
- 受影響嘅部機係咪已經同網絡隔離，仲未駁返去公司網絡或者屋企網絡。
- 有冇用另一部已經確認乾淨嘅電腦，或者可信嘅掃描工具，做一次全面檢查，而唔係喺懷疑受感染嘅系統上面直接「自己掃自己」。
- 有冇留意一啲唔尋常嘅跡象，例如開機自動彈出唔識嘅程式、檔案又再變副檔名、勒索訊息再次出現。見到其中一樣，就當未乾淨，唔好急住下一步。
記住一個判斷標準：唔係「掃完一次冇嘢彈出」就等於乾淨，而係「隔離狀態下檢查過、冇再出現異常跡象」先至可以進入還原階段。呢個分別，決定咗你係真係復原，定係只係將問題推遲。
還原定重裝：點揀
確認乾淨之後，第二個決定就係：用備份還原返去，定係成部機重裝一次。兩種做法各有代價，冇一種係所有情況都啱。下表幫你按情況揀：
| 做法 | 適合情況 | 要注意嘅代價 |
|---|---|---|
| 由備份還原 | 有離線或者有版本紀錄嘅備份，而且備份本身未受污染；系統設定複雜，重裝成本好高 | 還原之前一定要驗證備份版本同內容，唔好還原到加密咗之後嘅版本 |
| 成部機重裝 | 唔肯定部機清唔清得乾淨；冇可信備份；系統本身已經舊，順手重裝更乾淨 | 要預時間重新安裝軟件、設定帳號同權限；資料要另外由乾淨來源攞返 |
| 先還原資料，唔還原系統 | 系統已經重裝乾淨，只係要攞返文件 | 唔好將成個舊系統設定一併還原，避免將問題設定帶返嚟 |
點揀嘅關鍵問題只有一條：你信唔信得過手頭上嘅還原來源？備份來源乾淨、版本清晰，就還原；來源有懷疑、版本混亂，就寧願重裝。為咗慳時間而用一個有懷疑嘅來源還原，之後要處理嘅時間只會更多。
備份還原點驗：四步驗清楚
就算決定由備份還原，都唔好一次過還原晒。四步驗清楚，係復原入面最值得花時間嘅部分：
1. 驗版本。 揀加密事件發生之前嘅備份版本，唔好揀最近嗰個——如果雲端備份會自動同步，加密咗嘅檔案可能已經同步上雲端，令「最新版本」本身就係加密版本。有版本紀錄嘅雲端服務，可以揀返加密之前嘅時間點還原。
2. 驗備份本身。 檢查備份檔案有冇被加密或者損壞。離線備份（例如平時唔長駁住嘅外置硬碟）喺呢個位最有價值，因為勒索軟件接觸唔到佢。
3. 隔離試還原。 先喺一部隔離嘅電腦上面還原一小部分檔案，開嚟睇下開唔開到、內容啱唔啱，冇異常先至大規模還原。
4. 分批還原。 先還原最重要嘅工作檔案，確認正常之後先還原其餘部分。每批之間留返檢查時間，唔好一次過還原晒先一次過驗。
呢四步做齊，表面上係慢咗，但係唯一可以喺還原之後講得出「呢批檔案驗過，冇問題」嘅方法。還原之後先發現有問題，成個流程要由頭嚟過，仲要再停一次工。
密碼同權限：邊啲一定要重設
勒索軟件事件之後，密碼問題好容易被忽略。部機還原返嚟、檔案開返到，大家就當事件完結，但係帳號憑證可能已經喺事件期間外洩或者被盜用。以下清單，按優先次序重設：
| 優先次序 | 要重設嘅項目 | 點解要重設 |
|---|---|---|
| 第一批 | 電郵帳號、系統管理員帳號、雲端服務帳號 | 呢啲帳號可以重設其他服務嘅密碼，俾人攞到等於攞到成串鎖匙 |
| 第二批 | 遠端桌面、VPN、公司內部系統帳號 | 遠端入口係常見入侵位，事件之後唔重設，等於留返道門 |
| 第三批 | 其他工作平台、共用文件、社交帳號 | 喺受感染期間用過或者儲存過密碼嘅服務，逐個重設 |
| 同步要做 | 開啟雙重驗證；停用唔再用嘅帳號同遠端入口 | 淨係改密碼唔夠，雙重驗證先係第二重保障；唔用嘅入口閂咗佢，唔好留返 |
重設密碼嗰陣，要喺已經確認乾淨嘅裝置上面做，唔好喺仲懷疑受感染嘅部機上面改——否則新密碼可能即刻又俾人攞走。改完之後，留意帳號有冇異常登入紀錄，有就即刻再處理。
分批重開：唔好一次過開返晒
部機乾淨、檔案還原、密碼重設之後，先至到重開網絡呢一步。呢步最常見嘅錯誤，就係一次過將所有電腦駁返晒上網，然後以為事件完結。正確做法係分批：
1. 先駁返一部，正常用一段時間，留意有冇異常：檔案副檔名有冇再變、勒索訊息有冇再彈、系統有冇無故變慢或者彈出唔識嘅程式。
2. 第一部冇異常，先駁第二批；每批之間同樣留返觀察時間。
3. 全部駁返之後，頭幾日都要特別留意，唔好一駁返就當冇事。
公司環境仲要多一步：重開之前，通知返相關同事，話俾佢哋知邊啲系統已經恢復、邊啲仲未恢復，以及見到異常應該即刻向邊個匯報。復原唔單止係技術步驟，亦係溝通步驟；同事唔知邊部機仲未安全，就好容易喺未恢復嘅系統上面繼續工作。
記低事件同通報考慮
事件處理完，仲有最後一步好多人會跳過：記低成件事。記低嘅內容唔使複雜，但要齊：
- 幾時發現、邊啲裝置受影響、邊啲檔案被加密。
- 做過邊啲隔離同檢查步驟、還原用咗邊個版本嘅備份。
- 邊啲密碼同權限已經重設、邊啲系統已經分批重開。
呢份紀錄有兩個用途。第一，下次再有類似事件，唔使由零開始諗；第二，如果事件涉及客戶或者員工個人資料有外洩風險，機構可以按香港個人資料私隱專員公署嘅資料外洩處理指引，考慮係咪需要通報同採取跟進。通報決定要按實際情況判斷，唔好憑感覺話「冇事」就算。
復原期最常見嘅五個錯誤
| 錯誤 | 點解會出事 | 應該點做 |
|---|---|---|
| 未確認乾淨就還原 | 惡意程式仲喺度，還原等於白做 | 隔離檢查、冇異常先還原 |
| 還原到加密之後嘅版本 | 雲端同步已經將加密檔案寫入備份 | 揀加密之前嘅版本，隔離試還原 |
| 舊密碼照用 | 憑證可能已經外洩 | 按上表分批重設，開雙重驗證 |
| 一次過駁返晒所有機 | 有問題會一次過擴散，搵唔返源頭 | 分批重開，每批觀察 |
| 冇記低事件經過 | 下次再發生要重新摸索，通報亦冇依據 | 事件完結前寫低時間、範圍、步驟 |
求助之前，準備好呢五樣資料
如果你決定搵人幫手復原，準備好以下資料，對方先至可以快啲判斷，收費安排亦會講得清楚（收費需個別報價，唔會有劃一價錢）：
1. 邊幾部裝置受影響，係屋企機定公司機。
2. 勒索畫面嘅相片同發現時間（第一時間已經影低嘅證據）。
3. 有冇備份，備份喺邊（外置硬碟、雲端、NAS），最後一次成功備份係幾時。
4. 已經做過邊啲步驟：隔離咗未、掃描過未、還原過未。
5. 最重要嘅資料係邊啲，邊啲可以等，邊啲要即刻返工用。
準備好呢五樣，唔單止慳返來回問答嘅時間，亦可以避免對方喺資料唔齊嘅情況下俾出一個唔準確嘅估價。
總結
勒索軟件復原嘅次序，講到底只有一句：乾淨先，返工後。確認乾淨先還原，驗過版本先大規模還原，重設密碼先駁返網絡，分批重開先當完成。每一關都係為咗下一關買保險，跳過任何一關，慳到嘅時間遲早要還。
如果你而家就係處於復原階段，唔肯定邊一步做啱未，停一停，對住上面嘅次序逐項打勾。未打勾嗰項，就係你而家最應該做嘅事。
常見問題
問：備份還原之後，檔案開到係咪就等於冇事？
答：唔等於。檔案開到只係證明嗰批檔案本身冇問題，唔代表部機已經乾淨。仲要確認系統冇異常跡象、分批重開之後一段時間都冇問題，先至可以當復原完成。
問：冇備份，係咪即係冇得救？
答：唔一定。首先要保留加密檔案，唔好刪除，因為公開解密工具計劃（例如 No More Ransom）間唔中會推出針對某啲舊變種嘅免費解密工具。其次要確認部機乾淨同重設密碼，避免損失擴大。至於個別檔案有冇其他還原途徑，要按實際情況個別判斷，唔好信任何事先保證救得返嘅講法。
問：雲端備份自動同步，會唔會將加密檔案同步埋上雲端？
答：會，所以還原嗰陣一定要揀加密之前嘅版本。有版本紀錄嘅雲端服務可以揀返舊時間點；如果唔肯定邊個版本先係乾淨，就先隔離試還原一小部分，驗過先大規模還原。
問：成部機重裝係咪一定最安全？
答：重裝係最徹底嘅做法之一，但唔係所有情況都必要，亦唔係重裝完就自動安全。重裝之後仲要重設密碼、更新系統同軟件、分批重開，呢啲步驟一樣唔可以跳過。如果備份來源乾淨、版本清晰，由備份還原亦係合理選擇。
問：密碼係咪全部要即刻改晒？
答：按優先次序改：電郵、管理員、雲端帳號先改，遠端同公司系統跟住改，其餘用過嘅服務逐個改。最緊要係喺乾淨裝置上面改，同埋同步開啟雙重驗證，唔好淨係改密碼就算。
問：公司幾部機中招，重開嗰陣有咩特別要注意？
答：分批重開，每批觀察，同埋通知同事邊啲系統已經恢復、邊啲未恢復。仲要記低事件經過，萬一個人資料有外洩風險，可以按私隱專員公署嘅資料外洩處理指引考慮通報。
問：還原之後檔案又再被加密，點算？
答：即刻再隔離受影響嘅部機，唔好再駁網絡，唔好再還原多一次。呢個情況通常代表部機根本未乾淨，或者還原來源本身有問題，要由確認乾淨呢一步重新開始，唔好喺同一個來源上面重複還原。
問：復原要幾耐先完成？
答：冇劃一時間，要睇受影響裝置數量、備份版本係咪清晰、係咪需要重裝。次序行啱比速度重要；為咗趕返工而跳過驗證同分批重開，往往會令成個復原期拖得更長。
來源
- 香港電腦保安事故協調中心（HKCERT）〈Beware of Crypto Ransomware〉：隔離受感染電腦、由備份還原、保留離線備份副本。https://www.hkcert.org/blog/beware-of-crypto-ransomware
- 香港資訊保安網站（infosec.gov.hk）〈InfoSec: Ransomware〉：斷開網絡、全面掃描、確認備份離線安全、喺乾淨裝置上還原。https://www.infosec.gov.hk/en/knowledge-centre/ransomware
- 本站第一時間應急指南〈勒索軟件中招第一秒做咩〉：https://www.computerking.hk/blog/ransomware-protection-guide/
- No More Ransom 公開解密工具計劃（提及作一般實務參考，個別變種有冇工具要以該計劃公布為準）
- 香港個人資料私隱專員公署資料外洩處理指引（機構按實際情況參考，決定係咪需要通報）