電腦維修 · 2026年10月26日 · ComputerKing 團隊
SafePay 勒索軟件 600 間機構中招！CISA 聯合警示講明：佢哋專登刪你備份，中小企 6 步自保
美國 CISA 聯同 FBI 等六個執法機構 2026 年 10 月 20 日發出 SafePay 勒索軟件聯合警示（AA26-293A）：自 2024 年 8 月起，SafePay 已影響至少 600 間機構。入侵途徑包括被盜憑證、暴力破解同對外系統已知漏洞；得手之後會偷資料、加密系統，仲會針對備份落手，令還原都還原唔到。
重點摘要
美國網絡安全及基礎設施安全局（CISA）聯同聯邦調查局（FBI）、美國特勤局（USSS）、德國萊茵蘭-普法爾茨州刑事警察局、英國國家犯罪局同英國西北區域有組織犯罪組，2026 年 10 月 20 日發出 SafePay 勒索軟件聯合警示，編號 AA26-293A。警示指出，SafePay 自 2024 年 8 月活躍至今，已影響至少 600 間機構，橫跨多個關鍵基礎設施行業，遍及北美洲、南美洲、歐洲同澳洲，係 2026 年最活躍的勒索軟件組織之一。
對香港中小企嚟講，呢份警示最值得留意嘅唔係個數字，而係手法：SafePay 唔係淨係加密檔案就算，佢哋會先偷走資料再加密（雙重勒索），仲會專登破壞備份——停用備份相關服務、將存有備份的 NAS 還原出廠設定、刪除網絡備份。換言之，佢哋打嘅就係你以為最穩陣嗰條生路。今篇唔講空泛的「加強保安」，只講警示列出的入侵途徑同緩解措施，變成一張中小企今日就可以對照的檢查清單。
一、警示講咗啲咩：數字點解讀，唔好讀錯
先講清楚三個口徑，免得自己嚇自己，或者掉以輕心：
- 「至少 600 間」係下限，唔係總數。 警示講明呢個係已確認的受害者數目下限，實際數字可能更高。
- 警示冇公佈按國家或者行業的分拆。 唔好將 600 間當成香港數字，亦唔好因為冇香港分拆就當香港冇事——警示的重點係手法同防禦，唔係地域排名。
- 調查資料截至 2026 年 8 月。 即係話，警示反映的係過去兩年的活動模式，唔係單一事件的即時通報。
另外要分清：SafePay 唔係新病毒品種的代號，而係一個勒索軟件組織（坊間亦稱勒索軟件即服務模式下的品牌）。打擊一個品牌，成員可以轉去第二個品牌繼續做，所以今篇的重點唔係記住「SafePay」呢個名，而係記住佢哋用嗰套入侵同破壞備份的手法——因為下一單警示，好可能係同一個手法、唔同的名字。
二、SafePay 點入嚟：三條最常見的路
據警示及相關報道整理，SafePay 的入侵途徑主要有以下幾類，中小企對照自己公司，邊條路開住，就係邊條路最危險：
| 入侵途徑 | 實際意思 | 中小企常見的開口 |
|---|---|---|
| 被盜憑證＋暴力破解 | 用偷返嚟或者估到的帳號密碼登入 | 員工用同一個密碼行晒所有系統、舊員工帳號冇停用、冇開多重認證 |
| 對外系統已知漏洞 | 未修補的互聯網對外裝置同服務 | 直接暴露上網的 VPN、遠端桌面、NAS 管理介面、舊版路由器韌體 |
| 邊緣裝置＋VPN 途徑 | 經 VPN 服務或者邊緣裝置進入內網 | VPN 只靠密碼、冇多重認證、VPN 裝置本身好耐冇更新 |
入侵之後，攻擊者會用合法的 IT 工具喺內網橫向移動（即係話，防毒未必會彈警告，因為佢哋用的工具本身係正常工具），偷走資料、加密系統，然後以公開被盜資料作威脅，個別個案仲會直接打電話向受害者施壓。呢種「先偷後鎖」的雙重勒索，令「有備份就無事」呢句說話失效一半：備份可以解決加密問題，但解決唔到已經被盜走的資料外洩問題。
三、點解備份會成為第一個攻擊目標
好多中小企以為備份係最後防線，攻擊者亦都係咁諗——所以先打備份。據相關報道引述警示，SafePay 針對備份的手法包括：
- 停用 Volume Shadow Copy 等備份相關服務，令系統內置的還原點失效；
- 將存有備份數據的 NAS 還原出廠設定；
- 刪除網絡備份，令「喺網絡另一頭仲有一份」呢個假設落空。
再加埋一個中小企最常見的結構性弱點：備份同生產系統用同一個網絡、同一個域、同一個管理員帳號。攻擊者一攞到管理員權限，就可以連備份控制台一齊控制。備份長期插住 USB 外置碟、NAS 長期在線、備份帳號就係日常用的電郵帳號，全部都係幫攻擊者開門。
所以驗證備份的標準唔係「備份工作有冇跑完」，而係「備份係咪喺攻擊者攞到管理員權限之後都仲喺度、仲還原到」。詳細的還原驗證做法，可以參考備份有做未必還原到：還原驗證同不可變備份實戰同香港用家備份策略完整指南。
四、中小企 6 步自保清單：按警示緩解措施改寫
以下六步全部來自警示的緩解建議，改寫成中小企可以直接執行的檢查項：
| 步驟 | 做咩 | 點樣先算合格 |
|---|---|---|
| 1. 修補對外系統最優先 | 為所有對外系統、VPN 裝置、邊緣裝置套用最新保安更新，尤其係已知被利用的漏洞 | 列出所有對外服務清單，逐項確認更新狀態，唔好得個「應該更新咗」 |
| 2. 遠端存取一律開多重認證 | 所有支援多重認證的服務都要開，尤其係 VPN、特權帳號同電郵 | 冇多重認證就登入唔到，唔係「建議開啟」而係「開唔到就唔用得」 |
| 3. 收窄對外暴露面 | 停用唔用的遠端工具同服務，遠端桌面唔好直接暴露上互聯網，必須經 VPN＋多重認證＋存取限制 | 由外網掃一次自己公司的暴露面，搵到唔應該開的服務就即刻關 |
| 4. 分段＋最小權限 | 將檔案伺服器、會計系統同備份系統同一般辦公網絡分開；日常工作唔好用管理員帳號 | 備份控制台有專用帳號，唔同日常電郵帳號；域管理員人數減到最少 |
| 5. 備份離線＋不可變＋實測還原 | 至少一份備份要離線或者不可變（指定保留期內改唔到、刪唔到），並定期做實際還原測試 | 還原測試有記錄、有日期、有負責人；備份完成之後斷開連接，唔好長期插住 |
| 6. 監察備份告警 | 備份失敗、備份設定被改、備份裝置離線，告警要去到有人睇的地方，唔好去離職員工信箱 | 故意停一次備份工作，睇下有冇人收到告警同跟進 |
做完呢六步，唔等於「唔會中」，而係等於「攻擊者要行嗰幾條最平的路已經行唔通，成本高咗、機會細咗」。保安從來唔係買一件產品，而係將最平的入侵途徑逐條閂埋。
五、懷疑已經入侵，頭一個鐘點做啲咩
如果你發現檔案副檔名突然變晒、桌面多咗勒索信、備份無端端停咗或者被刪，記住以下次序，詳細的中招應對可以參考勒索軟件中招之後點樣返工：
1. 斷網隔離，唔好即刻抹機。 拔 Ethernet 線、斷 Wi-Fi，停雲端同步，保住備份唔好接返去受感染網絡；抹機重裝會銷毀調查同保險索償需要的證據。
2. 保住證據。 影低勒索信、記低發現時間同已經做過的步驟，保留日誌。
3. 用網外渠道求助。 電話聯絡 IT 支援同執法機構，唔好喺可能已經受監控的電郵系統入面討論應對。
4. 唔好自行聯絡攻擊者或者承諾俾贖金。 FBI 同 CISA 強烈不鼓勵繳付贖金：付款唔保證取回檔案，唔保證攻擊者刪除已經盜走的資料，仲可能鼓勵更多攻擊。任何俾贖決定都要先諮詢法律顧問同執法機構。
最後講多次：SafePay 警示的價值，唔在於嚇你，而在於畀你一張由六個執法機構背書的檢查清單。對照上面六步，逐項打勾，邊項未做就係邊項最值得今日做。服務收費方面，一律需個別報價；如需協助檢查對外暴露面、備份設定或者還原測試，歡迎 WhatsApp 2115 9219 查詢。
常見問題
SafePay 警示講的 600 間機構，係咪包括香港公司？
警示冇公佈按國家或者行業的分拆，只講受害者遍及北美洲、南美洲、歐洲同澳洲的多個關鍵基礎設施行業，數字係已確認受害者的下限。唔好將 600 間當成香港數字，亦唔好因為冇分拆就當香港冇事——重點係警示列出的入侵手法同防禦措施。
我哋公司好細，SafePay 會唔會睇唔上我哋？
入侵好多時係自動化掃描對外漏洞同弱密碼，唔係逐間公司人手揀。細公司的分別唔在於會唔會成為目標，而在於復原資源更少，所以事前修補對外系統、開多重認證同做好離線備份，對細公司嚟講更加重要。
有備份係咪就唔使驚 SafePay？
唔係。SafePay 會專登針對備份落手，包括停用備份服務、還原 NAS 出廠設定同刪除網絡備份；而且雙重勒索之下，就算還原到檔案，已經被盜走的資料外洩威脅仍然存在。備份必須離線或者不可變，仲要定期做實際還原測試，先算可靠。
中咗之後俾贖金係咪最快解決？
FBI 同 CISA 強烈不鼓勵繳付贖金：付款唔保證取回檔案，唔保證攻擊者刪除已經盜走的資料，仲可能鼓勵攻擊者針對更多機構。正確次序係斷網隔離、保住證據同備份、用網外渠道聯絡 IT 支援同執法機構，俾贖決定要先諮詢法律顧問。