許多勒索軟體事件被描述成「某天早上所有檔案都打不開」，但檔案被加密通常是整起攻擊的最後一步。在那之前，攻擊者多半已經透過 VPN、遠端桌面或釣魚郵件進入內網，取得管理權限、摸清網路架構、刪除備份，並把資料偷走。從入侵到加密之間的這段時間，正是防守方發現異常、把損害控制在一台電腦或一個帳號的機會。

這篇文章把典型的勒索軟體攻擊拆成七個階段，說明每個階段攻擊者在做什麼、會留下什麼跡象，以及企業可以在哪裡設關卡。適合負責網路、伺服器與端點的 IT 人員，以及需要決定資安投資優先順序的主管閱讀。

勒索軟體已經是分工的犯罪產業

近年造成重大損失的勒索軟體事件，背後多半不是單一駭客，而是「勒索軟體即服務」（Ransomware as a Service，RaaS）的分工模式：營運者負責開發加密程式、付款入口與洩漏網站；加盟者（affiliate）負責實際入侵、提權並部署勒索軟體，雙方拆分贖金；另外還有初始存取仲介（access broker），專門入侵企業後把「入口」轉賣給其他犯罪者[2]。Microsoft 把這類攻擊稱為「人為操作的勒索軟體」（human-operated ransomware），意思是每一步都由真人依照受害環境的狀況做決定，而不是一支自動擴散的程式[2]。

對防守方來說，這代表兩件事。第一，同一個勒索軟體品牌，背後可能是手法完全不同的加盟者，只追特定家族的特徵碼不夠。第二，不論最後部署的是哪一家的加密程式，前面的入侵、提權與橫向移動手法高度相似，把防線布在整條攻擊鏈上，效果比押在單一產品上好得多。

典型攻擊鏈：七個階段

1. 初始存取

最常見的入口有三類：暴露在網際網路上的遠端存取服務（VPN、遠端桌面、Citrix 等閘道），攻擊者通常是拿有效的帳號密碼登入[3]；尚未修補的對外設備或系統漏洞；以及夾帶惡意附件或連結的釣魚郵件[1]。帳號密碼可能來自先前的外洩資料、密碼噴灑，或直接向初始存取仲介購買[2]。對外設備的強化與修補可參考邊界設備強化與修補優先順序。

2. 提升權限與建立據點

進入內網後，攻擊者會竊取系統中的帳號憑證，設法取得網域管理員權限，並建立新的帳號，或安裝 AnyDesk、TeamViewer 這類合法遠端管理工具當作備用入口[2]。這些工具本身是正常軟體，防毒軟體不一定會攔截，因此「誰在什麼主機上裝了遠端工具」本身就是值得監控的訊號。

3. 偵察與橫向移動

攻擊者會盤點 Active Directory 裡的特權帳號、群組原則與資安產品設定，再用 PsExec、WMI 或遠端桌面在主機之間移動，有時搭配 Cobalt Strike 這類滲透測試工具[2]。攻擊者需要時間摸清環境，這個階段因此是最有機會攔截、也最值得投資偵測能力的地方。

4. 破壞防護與復原能力

在加密之前，攻擊者會嘗試停用或竄改防毒與 EDR[2]，並刪除 Windows 陰影複製、備份目錄、虛擬機快照，甚至是連在網路上的備份與雲端快照，讓受害者無法自行復原[4]。CISA 指出，許多勒索軟體會主動尋找可存取的備份，再加以刪除或加密[1]。

5. 竊取資料

為了增加談判籌碼，攻擊者會先把敏感資料打包外傳，常見工具包括 Rclone、Rsync 與各種網路檔案儲存服務[1]。

6. 加密

最後才是大規模加密。被加密的不只是使用者的文件與資料庫，也可能是整個磁碟分割區，或 ESXi 等虛擬化平台上的整台虛擬機[5]。一台虛擬化主機被加密，上面的數十台伺服器可能同時停擺。

7. 勒索與施壓

「雙重勒索」是指除了加密，還威脅公開竊得的資料；CISA 也觀察到有些集團乾脆不加密，只以公開資料作為唯一的勒索手段[1]。若受害者仍不付款，部分集團會進一步騷擾員工、客戶甚至主管家屬，或讓企業網站癱瘓，因此也有「三重勒索」或「多重勒索」的說法[6]。數位發展部資通安全署的應變指引同樣把「宣稱已預先竊取敏感資料、威脅限期公開或販售」列為判斷勒索軟體攻擊的特徵之一[7]。

加密之前看得到的早期徵兆

勒索軟體在加密之前通常會留下下列痕跡。只要出現其中一項，就值得當天調查，而不是等到下週：

  • 出現沒有對應變更單的新管理員帳號，或既有帳號突然加入高權限群組[2]
  • 伺服器上出現原本沒有使用的遠端管理工具，或遠端桌面設定被修改[2]
  • 有人在查詢網域管理員名單、群組原則或資安產品設定[2]
  • 防毒或 EDR 被停用、被移除，或出現竄改防護的告警[2]
  • 不尋常的 PsExec、WMI 遠端執行，或大量主機在短時間內被同一個帳號登入[2]
  • 對外傳輸量異常增加，特別是上傳到雲端儲存服務[1]
  • 陰影複製或備份被刪除；這通常代表加密即將開始[2]

此外，VPN 在非上班時間從陌生國家登入、同一帳號短時間內大量登入失敗，也是初始存取階段常見的訊號。這些現象單獨看都可能有正常解釋，所以平時就要知道「正常長什麼樣子」：哪些帳號應該使用遠端管理工具、哪些伺服器本來就會大量對外傳輸。

每個階段的防護重點

擋住入口

限制權限擴張與橫向移動

  • 網域管理員帳號不登入一般工作站與成員伺服器；每台電腦的本機管理員密碼要不同（例如使用 LAPS）；移除一般使用者的本機管理員權限[2]
  • 工作站之間原則上不需要互相連線 SMB 或遠端桌面，可用主機防火牆與網段切分加以限制
  • 封鎖公司沒有使用的遠端管理工具[2]

保護防護工具與備份

偵測竊資

  • 監控異常的對外傳輸量，以及 Rclone 這類工具的使用[1]
  • 伺服器網段只允許連往必要的外部目的地，其餘一律阻擋

事發時的第一步

資安署《資安事件應變處理行動指引》建議，確認遭勒索軟體攻擊時，在不關機的前提下立即拔除受影響設備的網路線、關閉 Wi-Fi 與行動網路，必要時隔離受影響網段；強制重設網域管理員等特權帳號密碼，同時保留一個可從實體主控台登入的緊急應變帳號；還原前必須先掃描備份檔，確認沒有潛伏的惡意程式[7]。指引也特別提醒不要強制關機或重新開機，因為加密金鑰等資訊可能仍短暫留在記憶體中，關機會讓這些證據消失[7]。完整的應變步驟可參考資安事件發生後的前 24 小時。

台灣企業可以利用的資源

  • 資安署 2026 年 7 月發布的《資安事件應變處理行動指引》，針對勒索軟體等六種常見情境整理判斷方式與該做、不該做的事，並附檢核清單與對外聲明範本[7]
  • TWCERT/CC 的勒索軟體威脅防護專區，依事前預防、事中處理、事後回復整理資源與通報管道[8]
  • 發生事件時，可向 TWCERT/CC 線上通報，涉及犯罪則向警方報案[7]；上市櫃公司另需留意重大訊息揭露，適用資安法的機關與事業則依資通安全管理法辦理通報
  • 本站的勒索軟體分類與資安事件列表收錄近期真實案例，可用來對照攻擊手法

行動清單

  1. 列出所有對外開放的 VPN、遠端桌面、遠端管理入口與防火牆管理介面，確認每一個都啟用 MFA、都已更新到最新版本；不需要對外的直接關閉。
  2. 檢查網域管理員帳號是否曾登入一般工作站；建立分級的管理帳號，並導入 LAPS 之類的本機管理員密碼管理。
  3. 確認防毒與 EDR 的竄改保護已啟用，並讓「防護被停用」「新增特權帳號」「陰影複製被刪除」這類告警能即時通知到人，包含下班時間。
  4. 盤點公司實際使用的遠端管理工具，其餘一律封鎖。
  5. 確認至少一份備份是離線或不可變的，且備份系統的帳號與網域分開；本季安排一次實際還原演練。
  6. 為伺服器網段設定對外大量上傳的監控門檻。
  7. 拿資安署應變指引的勒索軟體情境，與主管、法務、公關一起做一次桌上演練，確認誰決定斷網、誰負責通報、公司郵件癱瘓時用什麼備用管道聯絡。
  8. 訂閱本站通報，追蹤與自家設備相關的漏洞與攻擊活動。