中了勒索病毒有救嗎？先別付錢，也先別重灌

1. 先確認是真的加密，還是嚇你的

不是每個「你的檔案被鎖住了」的畫面都是真的。有一類叫作嚇阻式的假勒索，只是全螢幕蓋一個關不掉的視窗，檔案根本沒動。它靠的是你太緊張而不去確認。分辨方法不難，而且值得先花五分鐘。

確認方式是找一個平常會用、而且不重要的檔案打開看看。文件變成亂碼、圖片顯示不出來，那就是真的。如果檔案都正常，你面對的是騷擾不是災難，處理起來簡單得多。

2. 第一個小時：斷網，然後停手

確認是真的之後，第一個動作是把網路拔掉。目的有兩個：切斷它繼續往共用磁碟、備份伺服器和其他同事電腦擴散的路，同時斷開它和外面的連線。這一步的價值隨時間遞減，越早做能保住的東西越多。

接下來要做的事只有一件：什麼都不要動。不要刪那些說明文字檔，不要把被加密的檔案丟掉，不要跑清理工具，也不要急著重灌。那些檔案就算現在打不開，將來也可能救得回來，而清理工具會把判斷「是哪一支」的線索一起洗掉。

如果公司裡不只一台電腦，同一時間要做的是確認範圍。誰碰過同一個共用資料夾、誰用同一組管理員帳號登入過、備份主機是不是也掛在同一個網路上。勒索病毒很少只打一台。

3. 檔案還有哪些救回來的可能

先講一個殘酷的事實：現代的勒索病毒用的是正規的加密方式，沒有金鑰就是解不開，沒有捷徑。所以「救回來」靠的不是破解，是找到一份沒有被加密到的副本。可能性依成功率排序如下。

第四項值得多說一句。它不是萬靈丹，能解的家族是少數，而且要先知道自己中的是哪一支。但那是免費的、幾分鐘就能查完，在你考慮付錢之前絕對值得先查。

4. 該不該付贖金

執法單位與資安業界的一致建議是不要付。但只講「不要付」而不講原因，對一個公司正在停擺的人來說沒有說服力，所以把理由攤開。

第一，付了不保證拿得到金鑰。對方沒有履約的壓力，而且有些勒索程式本身寫得有問題，就算給了金鑰也解不回全部。第二，付款會讓你被標記成願意付錢的對象，同一批人或買了名單的其他人，過幾個月再回來的案例很常見。第三，你付的錢流向的是一整套產業鏈，而下一個受害者可能是你的客戶。

5. 要不要報案，以及什麼時候要通報

報案和通報是兩件不同的事，很多人會混在一起。報案是對警察機關，處理的是犯罪；通報是對主管機關，處理的是個人資料外洩的責任。兩者可能都要做，也可能只要做一件。

報案的部分，勒索病毒是刑事案件，可以向所在地的警察機關報案。實務上不要期待檔案因此救得回來，報案的價值在於留下正式紀錄，那在後續的保險理賠、對客戶交代、或是同一批人再犯時的偵辦上都用得到。

通報的部分要看那台機器裡有沒有客戶或員工的個人資料。如果有，那不只是你的損失，還牽涉到別人的權益，個人資料保護法對此有規定，而修法之後的通報時限與門檻會更明確。這一段的細節寫在個資法修法那篇。要提醒的是，期限的起算點是你知道的時候，不是你查清楚的時候。

6. 重建之後，把入口堵起來

重建的順序是先確認乾淨的環境，再還原資料。直接把備份倒回被感染的機器，等於重來一次。而在那之前要先回答一個問題：它是怎麼進來的。答案通常不脫幾種：有人點了附件、某台機器開著遠端桌面又用弱密碼、或是某個對外服務長期沒更新。

找出入口之後，真正能降低下次風險的是備份策略，而不是再買一套防毒。防毒擋的是已知的樣本，勒索病毒的家族更新得比誰都快。可靠的備份不需要猜對方會用什麼手法，它只需要存在、而且沒有連在同一個網路上。

驗證備份是最常被跳過的一步。一份從來沒有還原過的備份，和沒有備份的差別，要到出事那天才會知道。每隔一段時間真的還原一次，那半小時是這整件事裡投報率最高的半小時。