產業觀點

勒索軟體事故發生後的前 72 小時，往往決定企業損失的規模與復原速度。隔離、鑑識、通報、復原這幾個步驟若順序錯置，不只可能擴大感染範圍，也可能造成證據流失、備份遭污染，甚至導致復原後再次遭到攻擊。

許多企業在事故發生第一時間容易慌了手腳，急著重灌系統、關閉伺服器或支付贖金，卻忽略保留鑑識證據、確認攻擊是否仍持續，以及釐清受影響系統與帳號範圍的重要性。

面對勒索軟體事件，第一時間最重要的不是「趕快恢復」，而是先控制影響範圍，確認攻擊途徑與受感染程度，再進入復原階段。

標準應變流程

• 隔離：立即將受感染或疑似受感染設備與網路隔離，限制橫向移動，並視情況停用遭濫用的帳號、遠端連線與高風險存取管道
• 鑑識：保留系統日誌、EDR 紀錄、網路連線資訊、惡意檔案與異常樣本，釐清攻擊入口、感染時間、受影響設備與是否存在資料外洩
• 範圍確認：盤點伺服器、端點、帳號、網路設備、雲端服務及備份系統是否受到影響，確認事件是否仍在持續
• 通報：依內部事故應變程序通知管理階層、資安人員、法務與相關單位，並依適用法令、契約或主管機關要求進行必要通報
• 復原：確認攻擊途徑已處理，並驗證備份未遭加密或污染後，再依業務重要性與復原優先順序逐步恢復關鍵系統
• 監控：系統恢復後持續監控異常登入、惡意程式活動與可疑網路連線，避免攻擊者仍保留後門或再次入侵

顧問提醒：切勿在尚未釐清感染範圍與保全必要證據前，直接重灌或大量刪除系統資料。這不僅可能破壞關鍵鑑識證據，也可能讓真正的入侵入口沒有被處理，造成系統復原後再次遭到感染。

平時就該準備好的三件事

面對勒索軟體威脅，企業平時至少應完成三件事。

第一，建立可靠且可復原的備份機制。重要資料與關鍵系統應建立離線、異地或不可任意修改的備份，並定期實際測試復原流程，而不是只確認備份作業顯示成功。

第二，制定並演練勒索軟體事故應變 SOP。應事先定義事件發生後的指揮角色、隔離方式、證據保全、通報流程、復原順序與對外溝通方式，避免真正發生事故時才臨時決定。

第三，建立必要的外部聯繫與支援機制，包括資安顧問、鑑識服務、系統維運廠商、保險公司、執法單位及相關主管機關，並確認聯絡方式在網路或郵件系統中斷時仍可取得。

此外，企業也應定期檢視高權限帳號、遠端存取、VPN、弱點修補與 EDR 防護狀態，因為勒索軟體事件往往不是單純的惡意程式感染，而是攻擊者先取得帳號或系統控制權後，再進一步進行資料竊取、加密與勒索。

勒索軟體應變的重點，不只是將系統恢復上線，而是確認攻擊來源已排除、受影響範圍已釐清、備份可信任，並避免相同攻擊再次發生。

若您想強化貴公司的事故應變能力，頂峰資訊顧問團隊可協助進行勒索軟體應變流程健檢、事故應變 SOP 建置、桌上演練、資安事件鑑識協調與復原規劃，提升組織面對重大資安事件時的應變與復原能力。