網絡安全 · 2026年10月23日 · ComputerKing 團隊

勒索軟件變種愈嚟愈多、連虛擬機都中招：香港中小企 2025–2026 應對、通報同備份還原全攻略

2025年勒索軟件外洩申索升近五成，虛擬機都成目標。香港中小企中招第一小時點隔離、通報同備份還原？

注意：本文為一般資訊，唔構成法律意見。涉及俾唔俾贖金、通報責任同個人資料外洩，應先諮詢法律顧問，並聯絡相關機構。所有服務收費需個別報價，本文唔提供任何價錢。

重點摘要

2025年勒索軟件外洩申索急升近五成，連虛擬機都成目標；中招先斷網隔離、保住備份證據，按香港指引通報，唔好急住俾贖金。

開場：一個假設情景，唔係真實個案

以下係假設情景，唔係真實客人個案：星期一朝早，一間十幾人嘅貿易公司返到公司，發現共用資料夾入面嘅檔案打唔開，副檔名變成一串亂碼，桌面多咗一封勒索信，話要限時內用加密貨幣俾贖金，否則公開偷走嘅資料。會計部嘅報價單、客戶聯絡資料同埋未出貨嘅訂單全部喺入面。老闆第一個反應係：「即刻熄機重裝，咪搞掂？」——呢個反應好自然，但好可能係最錯嘅第一步。

點解要特別寫呢一篇？因為 2025 年之後嘅勒索軟件，已經唔再係以前嗰種「鎖住檔案、俾錢解鎖」咁簡單。今日主流係雙重勒索：攻擊者先偷走你嘅資料，再加密你嘅系統。就算你有備份還原到，佢手上嗰份偷走嘅資料，依然可以用嚟威脅你。所以「有備份就無事」呢句說話，喺 2025–2026 年已經過時。

2025–2026 年最新趨勢：申索急升、龍頭集中、虛擬機成目標

香港整體事故數字先講清楚口徑

HKCERT《香港網絡安全展望 2026》指出，2025 年 HKCERT 接獲 15,877 宗網絡安全事故通報，創歷年新高，較上一年升約 27%。要講清楚：呢個係「HKCERT 接獲通報數字」，唔係全港實際發生宗數，亦唔係勒索軟件專項數字。入面釣魚攻擊佔近六成（57%），系統漏洞相關事故 2,328 宗（15%），較上一年升逾 3.5 倍，殭屍網絡相關事故佔 18%。換句話說，攻擊者愈嚟愈積極利用未修補漏洞同錯誤配置入侵，而唔係只靠一封釣魚電郵。

去到 2026 年上半年，HKCERT 接獲 8,358 宗事故通報，同 2025 年同期 8,142 宗大致相若；釣魚仍然係最大類別，有 5,305 宗，佔 63%。釣魚假冒品牌之中，社交媒體及即時通訊應用佔 46%，其次係銀行／金融及電子支付服務（17%）同加密貨幣平台（15%）。對中小企嚟講，呢組數字嘅實際意思好直接：員工喺 WhatsApp 收到嘅假訊息，同電郵入面嘅假連結一樣危險，唔好只防電郵。

HKCERT 展望列出 2026 年五大網絡安全風險，公開摘要只完整列出首四項：第一係 AI 驅動攻擊與 Agentic AI 風險；第二係企業 AI 管治薄弱導致資料外洩風險；第三係供應鏈漏洞與第三方安全缺口；第四係過度依賴雲端基建造成單點故障。第五項喺摘要中未完整列出，本文唔會自行補寫。值得留意嘅係，威脅報告整理亦指出，AI 目前主要係放大舊有手法，例如釣魚、假冒、偵察同內容生成，而唔係發明咗一種全新嘅入侵方法。大家唔使被「AI 勒索軟件」呢個名嚇親，但絕對唔可以輕視 AI 令釣魚訊息寫得更似真。

全球：外洩網站申索一年升近五成

Analyst1《2025 年回顧》按勒索軟件資料外洩網站統計，2025 年申索有 7,819 宗，較 2024 年 5,223 宗升約 49.7%。2025 年美國佔近半數申索（3,936 宗），其餘頭十國家／地區包括加拿大、德國、英國、意大利、法國、西班牙、巴西、澳洲同印度。2025 年頭 20 個組織佔近 70% 申索，頭三位係 Qilin（15%）、Akira（10%）同 Clop（6%）。

呢度必須講明統計口徑：外洩網站申索數唔等於實際受害總數，因為部分受害者唔會被公開，部分組織根本唔設外洩網站，數字亦由攻擊者自稱驅動。但趨勢方向好清楚：勒索軟件生意冇縮，反而愈做愈大。

勒索軟件即服務：打擊一個品牌，成班人走去第二度

勒索軟件即服務（Ransomware-as-a-Service，簡稱 RaaS）嘅模式，係核心開發者提供品牌、工具同談判／外洩基建，附屬成員買入或者租用工具去執行攻擊。執法部門 2024 年 2 月打擊 LockBit、2023 年 12 月及 2024 年 3 月打擊 ALPHV／BlackCat 之後，附屬成員大量遷移去其他品牌，市場並冇消失。DeepStrike 整理 GuidePoint 數字嘅二手編譯指，2025 年活躍勒索軟件組織達 124 個，較上一年升 46%，多數係規模較細或者改名重組嘅附屬成員。本文引用呢個數字時必須註明：呢個係二手編譯，唔係一手調查。

最能夠說明「削弱但未消滅」嘅例子，就係 LockBit 5.0。據 Acronis Threat Research Unit 分析（經二手整理轉述），LockBit 5.0 喺 2025 年 9 月以 RaaS 模式發佈，針對 Windows、Linux 及 VMware ESXi 系統，屬於跨平台加密加雙重勒索。ESXi 版本會先關閉虛擬機，再加密虛擬磁碟檔案，即係話，一部虛擬化主機受陷，可以波及數十部虛擬機。據同一二手整理，自 2025 年 12 月起，LockBit 外洩網站列出 60 名受害者，涵蓋製造、醫療、教育、金融及政府。呢啲技術細節同受害者數字都係二手整理，本文唔會將佢哋寫成一手核實資料，但方向好明確：如果你公司用虛擬化跑晒所有伺服器，虛擬化主機本身就係攻擊者最想打嘅目標，備份同虛擬化基建一定要分開保護。

雙重勒索已經係主流，純勒索都喺度上升

雙重勒索嘅意思，係先盜取資料、再加密系統，並以公開外洩資料作威脅。據 Travelers Insurance 數字（經二手整理轉述），87.6% 嘅勒索軟件索償同時涉及加密與資料外洩或者威脅公開。呢個數字嘅含義好殘酷：就算備份還原成功，被盜資料嘅外洩威脅仍然存在。更進一步嘅三重勒索，即係喺雙重勒索之上，再針對客戶或者合作夥伴施壓，或者發動分散式阻斷服務攻擊（DDoS），TechTarget 整理指出 Vice Society 等組織曾經用過呢種手法；要講明，三重勒索係「部分組織使用嘅升級手法」，唔係所有攻擊嘅標準流程。

另一邊廂，純勒索攻擊（只盜取、唔加密）佔比亦喺度上升。Sophos 零售業報告嘅二手整理指出，純勒索佔比由 2023 年 2% 升至 2025 年 6%，增至三倍；同期零售業加密比率降至五年低位 48%。呢個係零售業子樣本，絕對唔可以推廣至所有行業，但佢提醒咗一件事：有啲攻擊者甚至懶得加密，直接偷資料就勒索，你連「檔案打唔開」呢個警號都未必會見到。

香港本地案例：InvestHK 2025 年 2 月事件教識我哋乜嘢

2025 年 2 月 22 日（星期六），投資推廣署（InvestHK）部分電腦系統遭受惡意勒索軟件攻擊，2 月 23 日公布。受影響範圍包括內部客戶關係管理（CRM）系統、內聯網及部分網站運作，包括網站聯絡表格功能同活動更新。據官方新聞稿嘅二手報道，即時措施包括更新相關存取權限、隔離受影響系統、啟動備份程序；同日向警方、數字政策辦公室（DPO）、個人資料私隱專員公署（PCPD）及保安局報告；委聘專家協助調查及復原；對外服務，包括電話、電郵同面對面會議，維持正常。

初步評估指可能涉及嘅資料包括客戶嘅基本資料（公司聯絡資料）及 InvestHK 職員紀錄；受影響人數喺當時報道中未有披露，本文唔會自行補上人數。另有二手整理指，截至 2025 年 3 月 3 日，InvestHK 稱攻擊中冇個人資料外洩；呢個更新並非本文直接核對嘅 InvestHK 原始公告，讀者應以官方公布為準。

對照返政府部門勒索軟件通報方面，立法會書面答覆（2025 年 3 月 26 日）指出，數字政策辦公室喺 2022、2023、2024 年分別接獲 5、3、2 宗涉及政府資訊科技系統嘅勒索軟件事故報告，全部冇資料外洩。InvestHK 個案對中小企最有參考價值嘅一點，唔係佢係政府機構，而係佢嘅通報節奏：同日多方通報，而唔係等調查完成先至講。呢個節奏，同 PCPD 指引要求嘅「切實可行範圍內盡快」係一致嘅，後面通報一節會再講。

中招第一小時：做啱順序，比做得多更重要

CISA #StopRansomware 指引嘅核心順序，應該成為中小企嘅骨幹：先確定邊啲系統受影響，即刻隔離佢哋；如果多部系統受影響，喺交換器層面將網絡暫時離線；如果做唔到，先拔受影響裝置嘅 Ethernet 線或者斷 Wi-Fi。之後按關鍵程度為受影響系統排定還原次序，團隊先就初步分析建立並記錄對事件嘅初步理解，再聯絡內部同外部團隊及持份者。

現場可以執行嘅細節，值得逐項講清楚：

第一，拔線，唔好只熄 Wi-Fi 一樣。 受感染機器要同時斷 Ethernet、Wi-Fi、藍牙同任何共用磁碟；未完全加密、但同網絡嘅其他電腦亦要斷網分隔，集中擺放並清楚標示邊部已經加密；擺放期間必須保持斷網，唔好為方便測試而重新接線。好多公司只熄 Wi-Fi，部機仲插住 LAN 線，勒索軟件繼續喺內聯網橫向擴散，結果愈救愈多部中招。

第二，先隔離伺服器同備份庫。 有事故應對經驗嘅來源特別提醒，先隔離域控制器（DC）同備份儲存庫，因為備份本身就係攻擊目標。重要聯絡要用網外（out-of-band）渠道，例如電話，因為日常用嘅電郵或者即時通訊頻道可能已經受影響，唔好假設佢哋未受監控。

第三，停同步，唔好畀加密檔覆蓋好檔。 暫停 OneDrive、Google Drive、Dropbox 等同步，因為同步工具會將加密咗嘅檔案上傳，覆蓋原本正常嘅版本。呢個就係點解 HKCERT 一再提醒：用雲端備份，一定要確認服務商有「版本歷史」功能，先可以取回被同步覆蓋之前嘅舊版本。同步唔等於備份，呢句說話值得貼喺 IT 房門口。

第四，立即將備份裝置同受感染網絡斷開；斷開之後再確認備份本身離線安全、如可能掃描驗證；確認乾淨之前絕對唔好接返去。 CISA 轉述指引要求確保備份數據離線且安全，如可能，用防毒程式掃描備份數據，檢查有冇惡意軟件。防毒掃描驗唔到所有惡意軟件、加密咗的備份檔本身亦掃唔到內容，真正證明係隔離環境實際還原測試。千祈唔好喺未確認之前，將備份接返去受感染網絡，否則等於親手將最後一條生路送埋畀攻擊者。

第五，唔好即刻抹機。 多個來源一致指出，喺收集證據之前唔好抹除、重裝或者還原到原機，因為會銷毀調查同保險索償需要嘅證據。HKCERT 較早嘅加密勒索軟件處理步驟亦係：即刻隔離斷網，之後掃毒清除，有備份先還原；若果之前冇備份，建議唔好還原系統，以免遺失解密所需資料。

關於「關機定唔關機」，業界其實有分歧，本文必須講清楚兩邊，唔好只寫一邊。CISA 立場係優先斷網，關機只係斷唔到網時嘅後備做法，因為關機會令揮發性記憶體（RAM）入面嘅感染證據流失。另一派實務意見就話，加密進行中，每多一分鐘就多啲檔案被加密，主張即刻斷網兼關機。對冇專職 IT 團隊嘅中小企嚟講，最穩陣嘅寫法係：現場第一步永遠係斷網；係咪關機，交由 IT 供應商或者事故應對人員即時判斷，唔好由非技術員工自行決定抹機或者重裝。

保留證據：你今日刪走嘅嘢，聽日可能就係破案關鍵

HKCERT 自助指引提醒，決定向警方或者有關當局舉報時，應該保留證據：帳戶內任何電郵訊息，唔只內容，連電郵標頭都要保留；伺服器、路由器、電腦嘅任何日誌，例如防火牆日誌同防毒軟件日誌；舉報時提供同事故相關嘅電郵訊息例子。立法會資料亦提醒一個常見錯誤：有受害者喺受騙或者電腦被入侵之後，即時刪除電腦資料甚至重裝所有軟件，結果銷毀相關證據。

所以第一小時要保留嘅清單包括：勒索信副本、檔案副檔名變化、鎖屏訊息、發現時間、已經採取嘅步驟、防火牆同端點日誌。影低勒索信、記低副檔名，之後用乾淨電腦去識別品種，先至係正確次序。

俾唔俾贖金：官方點講，數字點解讀

FBI 同 CISA 強烈不鼓勵繳付贖金：付款唔保證取回檔案，可能鼓勵攻擊者針對更多機構，亦可能資助非法活動。無論係咪決定付款，佢哋都促請向 CISA、當地 FBI 辦事處或者 IC3（https://ic3.gov）報告。呢個立場喺之前嘅文章已經講過，本文只作簡述，唔會展開成美國法章節。

Sophos《State of Ransomware 2025》（2025 年 6 月，調查 3,400 名 IT 及網絡安全領袖，17 個國家）嘅二手整理之間有出入，故本文只寫「近半數」，並註明調查機構同年份。同一報告嘅二手整理亦指出，中位數贖金要求較 2024 年跌約三分之一，中位數實際付款為 100 萬美元；另外有二手編譯引 Verizon DBIR 指 2025 年中位數付款為 115,000 美元——兩個數字樣本同定義唔同，絕對唔可以混用或者直接比較。

俾贖金之前，必須先釐清三個問題。第一，被盜資料係咪已經外洩：如果已經外洩，俾「解密贖金」都收唔返已經外洩嘅資料。第二，有冇離線、未受污染、可以驗證嘅備份：如果有，俾贖嘅必要性大減。第三，收款方係咪涉及制裁名單：美國 OFAC 指引警告，向受制裁人士付款可能違反制裁規定，香港企業應諮詢法律顧問；本文唔會將美國指引寫成香港法律。最重要嘅係，任何俾贖決定都唔應該喺攻擊當刻由一個人倉促決定，應該預先喺應變計劃入面寫明決策人、法律同保險諮詢流程，以及通報次序。呢個係業界建議嘅改寫，唔係任何官方機構嘅強制規定。

仲有一點要講明：本研究搜尋結果入面，冇任何官方來源承諾警方或者 HKCERT 會幫手俾贖金或者同黑客談判。本文唔會寫呢類承諾，正確寫法係「向警方同 HKCERT 求助及舉報，尋求調查同解密工具資訊」。

香港通報流程：報邊度、報幾時、點樣報

香港警方：報案途徑同免費解密平台

香港警務處已經正式加入由 Europol、荷蘭國家警察及兩間網絡安全公司發起嘅國際反勒索軟件項目「No More Ransom」（https://www.nomoreransom.org）。免費服務包括：勒索軟件分析，受害者可以上載已加密檔案、加密訊息中嘅電郵地址、網址或者比特幣地址，平台嘗試識別勒索軟件種類並提供相關解密工具（如有）；網上資料庫介紹勒索軟件種類、攻擊同感染方式；預防建議；解密工具；以及向執法機構舉報嘅資訊同超連結。

但警方頁面明言：解密工具並非適用於所有勒索軟件；由於勒索軟件演變迅速，開發對應解密工具需時，最新種類未必有解決方案。所以「去 No More Ransom 下載解密器就搞掂」只啱一半，另一半錯嘅係以為一定有工具。HKCERT 亦警告，假解密器本身就係陷阱，必須用乾淨電腦從合法來源下載，唔好喺原機亂試。識別品種嗰陣，可以先用 ID Ransomware 之類嘅識別工具上載加密檔或者勒索信，查到品種之後再去 No More Ransom 睇下有冇免費工具；有工具都要先喺副本測試，唔好直接喺原機亂試。

報案方面，可以向就近警署舉報或者經網上表格舉報。另外要分清楚一個號碼：18222 係警務處 24 小時防騙熱線，用嚟查詢同求助，唔係勒索軟件專線，唔好寫錯。至於警方網上舉報室連結，本文只作一般提述，讀者應以警方官方網站當日公布嘅入口為準。

HKCERT：預防同中招後步驟

HKCERT 嘅預防指引，綜合多篇文章，重點可以歸納為幾項。第一，定期、及時備份重要檔案，並將一份備份離線存放喺安全地方，避免同時被惡意軟件影響；用雲端備份時，確認服務商有「版本歷史」功能。第二，安裝保安軟件並保持特徵碼更新；為系統同軟件安裝最新保安修補程式。第三，針對遠端存取工具同 NAS 裝置：停用唔用嘅帳戶並盡量降低帳戶權限；停用唔用嘅協定同應用程式，例如 SSH、Telnet、網頁伺服器、SQL server、phpMyAdmin；避免使用預設連接埠，例如 22、443、80、8080、8081；改埠只係混淆手段，唔可以代替修補、MFA 同預設拒絕原則；改 443 仲可能影響正常服務，改之前要問專業意見。防火牆政策盡量採用預設拒絕所有流量；維持離線資料備份並定期測試還原；啟用系統日誌功能並喺異常時觸發警示；以仍然受支援嘅軟硬件取代已經終止支援嘅產品。

中招之後，HKCERT 指引原文要點係：先將受感染電腦離線，避免惡意軟件進一步影響內聯網檔案；將已加密檔案複製到空白儲存裝置；用乾淨電腦下載合法解密工具，切勿下載來歷不明嘅可疑解密器；如感染前已有系統或者資料備份，可以從備份還原；參閱 HKCERT 編製嘅《勒索軟件解密指引》；可以聯絡 HKCERT 查詢或者求助。HKCERT 明言唔保證解密工具一定成功復原檔案。HKCERT 24 小時電話熱線係 8105 6060，本文唔會自行補上未經核實嘅 HKCERT 電郵地址。

PCPD：現行指引同修例討論，必須分清

呢一節係成篇文章最容易寫錯嘅地方，所以要講得特別清楚。PCPD《資料外洩事故處理及通報指引》要求企業採取「預備＋回應」兩層做法。預備方面，要制定全面嘅書面資料外洩應變計劃，包括何謂資料外洩同觸發準則、內部升級程序、應變小組成員同聯絡名單、風險評估流程、調查程序同遏制策略、向持份者通報嘅溝通計劃、事後檢討機制，以及培訓同演習計劃。回應方面有五步：第一，即時收集資料外洩嘅基本資料；第二，遏制資料外洩；第三，評估對資料當事人嘅傷害風險；第四，考慮發出資料外洩通報；第五，記錄資料外洩事故。

通報準則方面，現行指引立場係：資料使用者應喺得悉資料外洩之後，喺切實可行範圍內盡快通知私隱專員及受影響嘅資料當事人，特別係當資料外洩相當可能對資料當事人造成實質傷害風險嘅時候；而且通報唔應該因為內部調查未完成而拖延。傷害風險評估因素包括外洩資料嘅種類同敏感度、外洩資料數量、資料係咪已經加密、身份盜竊或者欺詐嘅可能性，以及係咪已經採取有效緩解或者補救措施。可能傷害包括人身安全威脅、身份盜竊、經濟損失、羞辱或者尊嚴受損、聲譽或者關係損害，以及業務或者就業機會損失。

最重要嘅兩句，一定要一齊寫，缺一不可：現行 PCPD 通報屬於指引建議，唔係法例強制條文；修例討論中嘅強制限期（例如二手整理提及嘅五個工作天）仍然喺討論階段，未正式生效，絕對唔可以寫成現行法例。 法例基礎方面，資料使用者須按《個人資料（私隱）條例》保障資料原則第 4 原則，採取「所有切實可行的步驟」確保個人資料受保障，免受未經授權或者意外查閱、處理、刪除、遺失或者使用；委聘資料處理者時亦須防止上述情況。但「建議通報」同「法例規定限期內通報」係兩回事，唔可以混為一談。

修例討論嘅背景係：2024 年修例建議曾經提出強制資料外洩通報同行政罰款等，但據二手法律整理，政府喺 2024 年 11 月宣布改革暫緩，理由包括對中小微企合規負擔嘅關注，以及傾向分階段推行。另一二手整理指 PCPD 喺 2026 年 2 月重啟修例議程並正諮詢立法會議員，討論中嘅通報框架要求喺構成實質重大傷害風險時盡快通知專員及受影響人士，且喺任何情況下於五個工作天內通知；行政罰款框架擬為年營業額 10% 或者 1,000 萬港元中較高者。呢個二手整理本身亦稱，截至 2026 年中仍未確認正式提交時間表，可信度低於官方公告。所以本文只會寫「修例仍在討論，現行通報仍屬指引建議，詳情以 PCPD 及政府正式公布為準」，唔會將五天限期或者罰款數字寫死為現行法例。

通報受影響人士嘅內容可以包括：外洩嘅一般描述、外洩日期時間、外洩由資料使用者或者第三方處理者造成、涉及嘅個人資料種類、傷害風險評估、已經採取或者將會採取嘅防止進一步外洩措施、負責處理外洩事宜人士嘅聯絡資料、資料當事人可以採取嘅自保建議，以及係咪已經通知執法機構、專員或者其他相關方。通報方式可以係電話、書面、電郵或者親身；如未能即時識別受影響人士或者涉及公眾利益，以網站或者媒體公開通報可能更有效。PCPD 已經推出電子資料外洩通報表格，取代以往須下載表格再以電郵、傳真或者郵寄提交嘅做法，方便更及時通報。

值得一提嘅本地例子，係 HKCERT 報道嘅 Canvas 線上學習系統外洩事件：七間本地院校已經主動向 PCPD 報告懷疑個人資料外洩，影響範圍仍在調查中。呢個例子說明「懷疑外洩亦可以主動報告」，唔係「已經證實外洩先至報告」。不過要講明，呢個唔係勒索軟件個案，唔可以演繹為勒索軟件通報例子。

至於政府部門內部程序，政府部門或者公共機構發生資訊科技保安事故時，須按《政府資訊科技保安政策及指引》向數字政策辦公室轄下嘅政府資訊保安事故應變辦事處報告，並按事故性質通知 PCPD 及／或警方。呢個係政府內部程序，私人企業唔適用同一條鏈，但 InvestHK 個案顯示佢同日同時通知警方、DPO、PCPD 及保安局，可以作為「多方同步通報」嘅公開範例。

備份還原：點解有備份都救唔返

還原嘅正確順序

第一，只喺受影響系統已經清理或者重建之後，先由乾淨備份還原，避免即刻再感染。第二，先搵乾淨還原點，唔好自動用最新一個：攻擊者可能早已經潛伏，最新備份可能已經受污染；有備份指南建議保留 30 至 180 日多個歷史版本，本文引用時要寫明係「該指南建議」，唔係通用標準。第三，喺隔離環境驗證先：有指引建議用隔離還原環境加不可變備份儲存庫，喺唔將惡意軟件帶返生產環境嘅情況下還原同分析備份。第四，喺未凍結原機狀態、未做逐位元安全副本、未喺隔離環境驗證備份乾淨之前，唔好直接還原覆蓋原磁碟；清理／重建完成、備份驗證乾淨之後，還原返已清理的系統係正常做法。有數據恢復來源警告，直接將備份還原到受影響伺服器會覆蓋原磁碟；如果備份本身有問題、唔完整或者本身已經加密，就等於銷毀最後可能仲救得返嘅資料。正確做法係先凍結原機狀態、做逐位元安全副本，再喺副本上以唯讀方式工作。第五，按關鍵程度排次序：先還原電郵、會計、業務系統等關鍵服務；還原前先定好每項服務可以停幾耐，唔好到出事先估。第六，還原後先再監察：還原唔等於完成，要確認入侵途徑已經封閉、帳號已經重設、系統已經修補，先好全面恢復正常運作。

由 3-2-1 到 3-2-1-1-0：備份原則嘅演變

不可變（immutable）嘅意思，係喺指定時間內，連管理員、攻擊者、意外操作都唔可以改寫或者刪除；可以係雲端物件鎖定、WORM 儲存或者實體離線媒體。離線媒體只有喺斷開連接期間先至有類似不可變的效果，一接返去就寫得返，唔等於物件鎖定式不可變。中小企可行嘅組合係：本地備份（外置硬碟或者 NAS）加具版本紀錄同不可變設定嘅雲備份；本地還原快，雲備份異地安全。本地 NAS 唔好長期在線、同域、同一管理員帳號，否則就係十個原因第一點的失敗模式。HKCERT 較早建議亦係：即時同定期備份重要文件，並保留一份離線副本；用雲備份要確認供應商有版本歷史功能。

要留意嘅係，HKCERT 指引原文只明言「定期備份＋離線副本＋版本歷史」，3-2-1 係業界通用表述，本文註明為業界建議，而唔係 HKCERT 原文。

十個「有備份都救唔返」嘅常見原因

第一，備份同生產喺同一個網絡、同一個域、同一個管理員帳號：攻擊者攞到管理員權限，就可以連備份一齊刪或者加密。SafePay 2026 年 10 月聯合警示嘅分析亦指出，攻擊者會停用 Volume Shadow Copy 服務、將存有備份數據嘅 NAS 還原出廠設定，個別個案刪晒網絡備份。第二，備份長期插住：USB 外置碟長期插住，勒索軟件會連佢一齊加密；備份完成之後要斷開。第三，備份工作「成功」唔等於還原到：工作日誌只證明工作跑過，唔證明數據乾淨、完整或者成個系統還原到；唯一可靠驗證係實際做還原測試。第四，從未測試完整還原、唔知要還原幾耐：中小企常見情況係每晚備份「跑緊」，但從來冇還原過檔案或者成部機，亦冇人知完整還原實際要幾耐。第五，還原到同一個未清理嘅環境：最大宗重複感染原因，係喺未消除原本入侵途徑之前，將系統還原到同一個受感染環境；攻擊者用殘留存取權可以比你更快再加密。第六，冇分隔備份管理帳號：唔好用日常電郵或者工作站管理嘅同一組帳號管理備份；要用專用帳號、多重認證、最小權限，並將告警發去多過一個負責人。第七，以為 Microsoft 365 本身就等於備份：有指南指出，Microsoft 會維持服務運作，但已經刪除電郵同 OneDrive 檔案嘅保留期有限；要另外檢查 Exchange Online 信箱、OneDrive、SharePoint 嘅還原選項同保留期，必要時用專用雲對雲備份。第八，手提電腦同新資料夾被忽略：銷售或者主管將重要檔案放桌面，從不同步去伺服器；有人上年開咗新資料夾，但備份設定冇包到。第九，告警去咗冇人睇嘅信箱：失敗通知寄去已經離職員工信箱，冇人跟進。第十，備份系統本身冇監察：備份工具同保安監察各自獨立，攻擊備份基建嘅行為無人察覺。

廠商研究數字只可以有保留咁引用，唔好當香港事實。Veeam 2025 研究（經報道轉述）指 89% 受襲機構嘅備份儲存庫成為目標；只有 10% 機構還原到 90% 以上數據，57% 還原唔到一半。Veeam 2026 年研究（經轉述）指近 90% 保安主管相信可以快速還原，但實際完全還原嘅只有 28%。呢兩組數字嘅樣本同方法未經本文獨立核實，唔好直接套落香港中小企。至於香港中小企備份還原成功率嘅公開官方數字，現時未有公開來源，本文唔會填數。

復原後 30 日預防清單：六組功夫，缺一不可

修補最優先，亦係最平嘅一項。 CISA／FBI 2026 年 10 月 SafePay 聯合警示（AA26-293A）強調，及時修補係最有效、最具成本效益嘅步驟之一，要優先處理已知被利用漏洞，尤其係對外系統，並保持作業系統、軟件同韌體最新。HKCERT 亦一再提醒：為 Windows 同其他應用程式套用最新保安更新；停用唔用嘅通訊協定同應用程式；以支援中版本取代已經終止支援嘅軟硬件。有預防指南建議關鍵修補喺 24–48 小時內套用，並盡量自動化；本文引用時寫明係「該指南建議」，唔係所有企業嘅法例要求。

端點偵測及回應（EDR）唔係奢侈品。 HKCERT 最新勒索軟件專題明確建議，喺所有端點安裝 EDR，實時監察同自動回應異常行為，包括勒索軟件，並按威脅情報設定合適偵測政策，以提高偵測率、縮短回應時間、減少損失。其他預防指南一致指出，傳統防毒唔夠，EDR 設計上旨在憑行為偵測未知變種，有機會喺加密前攔截，但唔保證一定攔截到；亦有指南提醒，要有人或者機制全日監察告警，否則工具本身唔會自動救到公司。本文唔會寫任何 EDR 品牌嘅價錢或者「保證阻截」聲稱，相關內容一律寫「需個別報價」。EDR 裝唔到去 NAS、IoT 裝置同 ESXi 主機本身，呢啲要靠網絡監察同主機加固補位，唔好以為裝咗 EDR 就覆蓋晒。

網絡分段同最小權限。 HKCERT 建議將關鍵系統同數據分段，用防火牆同存取控制執行分段，限制勒索軟件擴散。CISA／FBI SafePay 警示同多份預防指南一致指出，分段可以將感染圍堵喺一個區域，防止橫向移動到高價值資產；同時要將用戶帳號同系統管理員限制喺最小權限，日常工作唔好用管理員帳號。中小企落地做法，就係將檔案伺服器、會計系統同備份系統同一般辦公網絡分開；限制邊個可以登入伺服器同備份控制台；減少域管理員人數。

多重認證（MFA）同遠端存取。 CISA／FBI SafePay 警示將 MFA 列為首要緩解措施：所有支援 MFA 的服務都要 MFA，尤其係遠端存取（VPN）、特權帳號同電郵。HKCERT 亦建議所有帳號、尤其係管理員權限帳號實施 MFA，並加強遠端存取保安，包括 VPN 同身份認證；唔用嘅遠端工具要停用，唔好用預設埠，防火牆採用預設拒絕原則。唔好將 RDP 等遠端服務直接暴露上互聯網；如必須用，要經 VPN 加 MFA 加存取限制加監察。

員工培訓同釣魚演練。 HKCERT Outlook 2026 建議定期為唔同部門提供針對性保安培訓，尤其係處理敏感數據嘅職位，並透過模擬演習同案例學習加強事故應對能力，減少人為錯誤。HKCERT 勒索軟件專題亦建議用先進電郵過濾同反釣魚方案攔截惡意電郵，再定期做釣魚模擬演習訓練員工。多份預防指南一致指出，員工係第一道防線，亦可能係最大弱點；定期、低壓力嘅釣魚模擬比一年一次嘅合規講座有效；要教員工識別社交工程、惡意連結同附件，並知點樣快速上報。

事故應對計劃同演習，係復原後第一件要補嘅文件。 一頁紙計劃已經足夠起步：邊個負責打電話、點斷開受影響電腦、備份喺邊、邊個對外同客戶溝通。計劃要寫低 IT 供應商、保險公司、律師、警方同 HKCERT 聯絡方法，並以離線方式保存，唔好只放喺會被加密嘅共用磁碟入面。冇演習過嘅計劃，喺真實事故中好大機會失效；要定期做桌面演習，測試角色、聯絡樹同網外通訊渠道。復原後檢討要包括：入侵途徑係乜嘢、邊個控制措施失效、備份還原實際用咗幾耐、下次要改乜嘢。唔做檢討，下次只會重複同一失敗。

一頁紙應對卡：貼喺 IT 房，唔好只存喺電腦入面

出事先算、到時先搵人，係最貴嘅陷阱。出事嗰刻先搵 IT 供應商、保險公司、法律顧問，聯絡資料可能就喺被加密嘅系統入面。事前一頁紙計劃同離線聯絡清單，成本最低、回報最大。建議每間中小企都寫一張應對卡，內容包括：HKCERT 24 小時熱線 8105 6060；警方報案途徑同 No More Ransom 平台；保險公司同法律顧問聯絡方法；IT 支援聯絡方法；以及「第一小時五件事」：斷網、停同步、保住備份、保存勒索信同日誌、打電話通報。呢張卡要印出嚟貼喺 IT 房同管理層手上，唔好只存在某部可能被加密嘅電腦入面。

常見誤解逐一拆解

「有備份就無事」——錯。 雙重勒索之下，備份只解決加密問題，解決唔到已經被盜資料被公開或者出售嘅勒索；攻擊者亦會針對備份系統同網域控制器下手。HKCERT 指引要求備份離線存放同定期測試還原，正係因為連線備份本身可以被加密或者刪除。

「即刻重裝或者熄機最乾淨」——錯，而且可能毀證。 關機會銷毀 RAM 入面嘅法證證據；抹機重裝會銷毀日誌同系統映像，影響警方調查同保險索償；部分解密工具只喺原本加密嘅機器上面運行（據個別數據恢復來源）。正確做法係先隔離，斷網不斷電為優先考慮，保留勒索字條、日誌同加密檔案樣本。

「俾咗贖金就一定解得返，兼保證唔公開」——錯。 FBI／CISA 明言付款唔保證取回檔案；俾贖亦唔能夠保證攻擊者刪除已經盜走嘅資料；亦有再次成為目標嘅風險。本文唔會寫任何「俾贖成功率」數字，因為冇可核實嘅一手來源。

「雲端備份自動同步就等於離線備份」——錯。 HKCERT 明確提醒，雲端備份必須有版本歷史功能，否則被加密嘅檔案同步上雲之後會覆蓋舊版本；真正嘅離線備份，係指同受感染網絡隔離嘅副本。

「勒索軟件只針對大公司或者政府」——錯。 HKCERT 2025 年事故數字顯示釣魚同漏洞利用大規模發生；HKCERT 亦指出中小企往往缺乏資源建立較廣泛嘅網絡防禦，容易成為目標，並為此編製咗《Incident Response Guideline for SMEs》。中小企嘅分別唔在於「會唔會中」，而在於復原資源更少。

「中咗先報警或者報 PCPD 就可以，之前唔使準備」——錯。 PCPD 指引要求預先制定書面應變計劃；HKCERT 自助指引要求平日保留電郵標頭同日誌，事發之後先補救往往已經太遲。InvestHK 個案嘅公開做法係同日多方通報，唔係事後數星期先至通報。

「重裝之後用同一密碼、同一 VPN 設定就無事」——錯。 如果入侵源頭，包括被盜憑證、未修補漏洞、冇 MFA 嘅 VPN，未清除，重新上線等於重新開門。復原之前必須完成入侵源頭調查同憑證重設。

結語：中招唔係世界末日，但冇準備就係

勒索軟件趨勢話畀我哋聽三件事：第一，攻擊規模喺度擴大，2025 年外洩網站申索升近五成；第二，攻擊目標由個人電腦擴展到虛擬化主機同備份系統；第三，雙重勒索令「還原」同「冇事」之間，隔住一個資料外洩嘅鴻溝。對香港中小企嚟講，應對之道唔係買最貴嘅工具，而係做啱順序：平日做好離線備份同還原測試、MFA、修補同分段；中招嗰刻斷網隔離、保住證據同備份、按指引通報；復原之後檢討加固、寫好一頁紙應對卡。呢啲功夫，冇一樣需要估價，冇一樣需要神話，全部都係今日就可以開始做嘅事。服務收費方面，一律需個別報價。

延伸閱讀：通用勒索軟件應對指南（第一時間應對、俾贖金風險、備份還原基礎）請見《香港企業中咗勒索軟件點算？第一時間應對、俾唔俾贖金、備份還原全攻略》。本文聚焦 2025–2026 最新趨勢、虛擬機目標同香港通報流程深挖。

常見問題 FAQ

Q1：中咗勒索軟件，第一件事應該做乜嘢？

先斷網隔離受影響裝置：拔 Ethernet 線、斷 Wi-Fi、斷藍牙同共用磁碟，同時停雲端同步，保住備份唔好接返去受感染網絡。之後保留勒索信、日誌同加密檔案樣本，再聯絡 IT 支援、警方同 HKCERT。未經 IT／事故應對人員即時判斷，唔好自行抹機重裝，以免銷毀證據。

Q2：係咪一定要報警？HKCERT 熱線係幾多號？

向警方舉報可以協助調查，亦係保險索償同保留證據嘅重要一步；可以向就近警署舉報或者經網上表格舉報。HKCERT 24 小時熱線係 8105 6060，可以查詢或者求助。18222 係警務處 24 小時防騙熱線，用嚟查詢同求助，唔係勒索軟件專線。

Q3：懷疑有個人資料外洩，幾時要通知 PCPD？

按 PCPD 現行指引，資料使用者應喺得悉資料外洩之後，喺切實可行範圍內盡快通知私隱專員及受影響嘅資料當事人，特別係當資料外洩相當可能對資料當事人造成實質傷害風險嘅時候；通報唔應該因為內部調查未完成而拖延。現行通報屬於指引建議，唔係法例強制條文；修例討論中嘅強制限期未正式生效，詳情以 PCPD 及政府正式公布為準。如有疑問，應先諮詢法律顧問。

Q4：有備份係咪就唔使驚？

唔係。備份只解決檔案被加密嘅問題，解決唔到資料已經被盜走嘅問題。雙重勒索之下，攻擊者可以威脅公開已經偷走嘅資料，就算你還原晒所有檔案，外洩威脅同通報責任仍然存在。而且備份本身都可能被加密、刪除或者從未測試過還原，必須有離線副本、版本歷史同定期還原測試，先至算係可靠嘅備份。

Q5：No More Ransom 係咪一定解得返我啲檔案？

唔一定。警方頁面明言，解密工具並非適用於所有勒索軟件，最新種類未必有解決方案。正確做法係用乾淨電腦識別勒索軟件品種，再去 No More Ransom 睇下有冇免費工具；有工具都要先喺副本測試，千祈唔好下載來歷不明嘅所謂解密器，假解密器本身就係惡意軟件陷阱。

Q6：俾贖金係咪最快解決方法？

FBI 同 CISA 強烈不鼓勵繳付贖金：付款唔保證取回檔案，唔保證攻擊者刪除已經盜走嘅資料，仲可能鼓勵攻擊者針對更多機構。俾贖之前必須先釐清資料係咪已經外洩、有冇乾淨備份，以及收款方係咪涉及制裁名單；任何俾贖決定都唔應該由一個人喺攻擊當刻倉促決定，應先諮詢法律顧問同執法機構。

Q7：細公司係咪唔會成為目標？

唔係。HKCERT 指出中小企往往缺乏資源建立較廣泛嘅網絡防禦，容易成為目標，並為此編製咗中小企事故應變指引。攻擊自動化令發動成本下降，細公司嘅分別唔在於「會唔會中」，而在於復原資源更少，所以事前準備對細公司嚟講更加重要。

Q8：雲端同步（例如 OneDrive、Google Drive）算唔算備份？

唔完全算。同步只係將現況複製去雲端，加密檔案同步上去就會覆蓋好版本；真正備份需要版本歷史同不可變設定。HKCERT 早已提醒，用雲備份要確認供應商有版本歷史功能。至於 Microsoft 365，要另外檢查信箱、OneDrive、SharePoint 嘅還原選項同保留期，唔好假設平台本身就等於完整備份。

來源連結

• HKCERT 2026 上半年事故統計及趨勢
• HKCERT 勒索軟件雙重勒索與假解密器
• HKCERT 遠端存取工具及 NAS 裝置勒索軟件呼籲
• HKCERT 多重勒索防禦
• HKCERT 加密勒索軟件警示
• HKCERT 資料保護指引
• HKCERT 保安事故自助指南
• HKCERT 最新勒索軟件專題
• 香港警方 No More Ransom 項目
• InvestHK 勒索軟件事件政府新聞
• 立法會政府資訊科技系統勒索軟件事故書面答覆
• PCPD 資料外洩指引二手整理（Linklaters）
• PCPD 資料外洩指引二手整理（Sidley）
• Analyst1 2025 年勒索軟件外洩活動回顧
• LockBit 5.0 二手整理
• 勒索軟件趨勢二手整理
• Sophos 2025 報告二手整理
• CISA 指引轉述
• SafePay 聯合警示分析
• 備份策略（3-2-1-1-0）指南
• 不可變備份解說
• 點解有備份都救唔返
• HKCERT 展望 2026 轉載

相關文章

• 香港企業中咗勒索軟件點算？第一時間應對、俾唔俾贖金、備份還原全攻略
• 備份有做未必還原到：還原驗證同不可變備份實戰
• 香港用家備份策略完整指南：3-2-1 法則點做先叫真備份？Time Machine、Windows、雲端同離線碟點分工