早上到公司，檔案伺服器上的文件副檔名全變了，每個資料夾裡多了一份勒索信，要求用加密貨幣支付贖金換取解密金鑰，並威脅不付錢就公開偷走的資料。加密通常是整起攻擊的最後一步：在那之前，攻擊者多半已經取得管理權限、刪除找得到的備份，並把資料帶走，完整流程見勒索軟體如何入侵企業。接下來幾小時到幾週要面對的是另一組問題：怎麼止血又不毀掉證據、資料有沒有被偷、有沒有免費的解密工具、系統要按什麼順序還原，以及要不要付錢。

這篇寫給發現加密當天就得做決定的 IT 主管與經營階層。一般入侵事件第一天的步驟，例如指定事件負責人、改用頻外通訊、保全日誌與帳密重設的時機，請見疑似遭入侵的前 24 小時，這裡不重複，只補上勒索軟體特有的部分。主要依據美國 CISA、MS-ISAC、NSA 與 FBI 聯合發布的《#StopRansomware Guide》應變檢核表[1]，以及數位發展部資通安全署 2026 年 7 月發布的《資安事件應變處理行動指引》[2]。

先圍堵，但不要毀掉證據

斷網，不要關機

CISA 建議找出受影響的系統並立即隔離；多台主機或多個網段受影響時，直接在交換器層級讓網路離線；只有在無法斷網時才關機，因為關機會失去留在記憶體中的勒索軟體痕跡與證據[1]。資安署指引說得更具體：許多勒索軟體完成加密後，加密金鑰或相關執行資訊可能仍短暫留在記憶體中，這時關機、拔電源或重新開機，等於放棄由鑑識人員擷取金鑰、不付贖金就解密的機會[2]。所以第一道指令應該是「拔網路線、關 Wi-Fi」，而不是「全部關機」。隔離要協調好一次執行，並以電話等頻外管道溝通，避免攻擊者察覺後搶先擴大加密[1]。

保留勒索信、樣本與往來紀錄

不要刪除勒索信。CISA 列出它與執法機關後續分析時可能需要的資料，特別註明不要移除勒索說明檔，否則可能無法解密；同一份清單還包括被加密的檔案樣本、惡意程式樣本、受影響主機的記憶體擷取與映像檔、日誌、攻擊者使用的電子郵件與通訊帳號、贖金金額、攻擊者的比特幣錢包，以及與攻擊者往來的所有紀錄[1]。指定一個人負責保管這些資料，存放在與受害網路隔離的地方；任何與攻擊者的聯繫，都應由事件負責人授權並完整記錄。

假設帳號與備份都已經被碰過

勒索軟體入侵常伴隨大量帳密外洩。CISA 建議找出初始入侵所用的系統與帳號（包括電子郵件帳號），並停用 VPN、遠端存取伺服器、單一登入與其他對外服務，阻斷攻擊者用既有帳密繼續進出[1]。Microsoft 事件應變團隊建議停用所有特權帳號，只保留少數用來修復 AD 的管理帳號，並在每個網域隔離至少一台、最好兩台確認未受害的網域控制站，優先保住身分系統[3]。資安署則建議立即重設網域管理員等特權帳號的密碼，同時保留一個可從實體主控台登入的緊急應變帳號，以免復原期間把自己也鎖在外面[2]。

備份同樣要假設已被盯上：勒索軟體集團常蒐集環境中的帳密去登入備份系統，或利用備份軟體未修補的漏洞[1]。在確認環境乾淨之前，不要把離線備份接回受害網路。CISA 也提醒，勒索軟體事件可能代表更早一次入侵從未處理乾淨，從備份重建之前，要先找出 Emotet、QakBot 這類先遣的惡意程式，否則重建後仍會再次失守[1]。

確認範圍：只有加密，還是資料也被帶走？

勒索信說資料已經在攻擊者手上，或完全沒提竊資，都不能直接採信，要自己查證。資安署指引把「宣稱已預先竊取敏感資料，威脅限期公開或販售」列為判斷勒索軟體攻擊的特徵之一[2]。CISA 建議在威脅獵捕時，檢查任何連接埠上異常大量的外傳流量，以及 Rclone、Rsync、網路檔案儲存服務與 FTP/SFTP 等常見竊資工具的痕跡[1]。TWCERT/CC 建議盤點受影響的資料範圍，包括設計開發、測試、財務、客戶、供應商與帳號密碼等機敏資料，以便研議資料毀損或外洩的因應措施[4]；事後也要調查公開網路與暗網上是否出現外洩的資料[5]。

有沒有竊資，決定了接下來還有哪些法律與合約義務：

  • 涉及個資：CISA 提醒，事件若造成資料外洩，要依應變與溝通計畫辦理通知[1]。台灣現行個資法的通知義務、各產業辦法的通報時限與當事人通知的寫法，見個資外洩應變。
  • 上市櫃公司：要同步評估是否須發布重大訊息，判斷標準與申報時限見資安事件與重大訊息揭露。
  • 受託處理他人資料：資安署指引提醒，執行受託業務時知悉資安事件，應依契約要求通知委託機關並採行補救措施[2]。

辨識勒索軟體家族，先查有沒有免費解密工具

討論付款之前，先確認有沒有不必付錢的路。TWCERT/CC 指出，大多數被勒索軟體加密的資料難以破解[4]。不過，研究人員曾在部分家族的加密實作中找到缺陷並釋出解密工具，CISA 因此建議，即使已經有其他緩解手段，也要向執法機關詢問是否有可用的解密工具[1]。

  1. 辨識家族：TWCERT/CC 建議依勒索軟體名稱、被加密檔案的副檔名等資訊判斷類型[4]。
  2. 查 No More Ransom：這是由荷蘭警方高科技犯罪單位、歐洲刑警組織（Europol）歐洲網路犯罪中心，以及 Kaspersky、McAfee 發起的計畫，目標是讓受害者不必付錢給犯罪者就能取回資料[6]。網站上的 Crypto Sheriff 工具用來協助判斷勒索軟體類型，再確認是否有對應的解密方案[7]。TWCERT/CC 同樣建議到 No More Ransom 尋找可信任資安單位提供的解密工具[4]；工具請只從該網站或資安業者的官方頁面取得。
  3. 先清除惡意程式，再解密：No More Ransom 提醒，使用解密工具前要先讀操作說明，並先從系統中移除惡意程式，否則系統會反覆被鎖定或加密[8]。
  4. 暫時無解，也不要丟掉加密檔：TWCERT/CC 建議把找不到解密工具的檔案另外備份到安全的地方，未來出現工具時還能使用[4]；No More Ransom 表示會持續與資安業者及執法機關合作，找出更多勒索軟體的金鑰[7]。

還原順序：先身分與基礎設施，再業務系統

CISA 建議依事先列好的關鍵資產清單排定還原順序，清單要涵蓋攸關健康安全、營收或其他關鍵服務的系統，以及這些系統所依賴的系統；判定未受影響的系統則另外列出，往後排[1]。Microsoft 評估每一個停擺的業務系統時，第一個問題就是它是否需要身分驗證，接著是有沒有經過還原測試的應用程式、設定與資料備份[3]。多數企業的業務系統都依賴 AD、DNS 與網路，因此順序通常是：

  1. 建立乾淨的復原環境：另建隔離的復原網段，只放入確認乾淨的系統，避免還原過程中重新感染[1]。
  2. 先恢復身分系統：Microsoft 指出，控制平面（通常就是 AD）遭入侵時，可能需要進行入侵復原[3]。從確認未受害的網域控制站或可信的備份重建，並將 KRBTGT 帳號密碼重設兩次[3]；兩次之間的間隔與操作細節見前 24 小時。
  3. 再恢復核心基礎設施：DNS、防火牆、VPN、虛擬化平台與備份系統本身，設定一律從乾淨的備份還原或重新建置。
  4. 依重要性恢復業務系統：CISA 建議用預先建置的標準映像重建系統，雲端資源用基礎架構即程式碼範本重建，再依關鍵服務的優先順序，從離線、加密的備份還原資料[1]。
  5. 最後是一般使用者端點。

還原前先驗證備份是乾淨的

NIST 在 2026 年 6 月發布的 IR 8374 Rev. 1，把「使用備份與其他復原資產之前先驗證其完整性」列為勒索軟體復原的成果項目之一[9]。資安署也要求任何資料還原之前，先對備份映像檔做獨立的惡意程式掃描，確認沒有夾帶潛伏的勒索程式或駭客預留的腳本，才導入已清理重建的環境[2]。如果攻擊者潛伏了很久，最近幾份備份可能都不乾淨，就得往前找到入侵之前的版本，並向業務單位說明因此遺失的資料範圍。備份平時該怎麼設計，見備份策略：3-2-1 原則、不可變備份與還原演練。

補好入口，才重新連線

CISA 建議找出初始入侵涉及的系統與帳號，並檢查由外而內（例如邊界設備上的後門、惡意帳號）與由內而外（例如內網植入的惡意程式、濫用 PsExec 或 Cobalt Strike）的常駐機制；環境完全清理並重建後，再對所有受影響系統重設密碼、修補相關漏洞與防護缺口，必要時更換客戶自管的加密金鑰[1]。Microsoft 另建議補齊所有缺少的安全性更新，並確認包括 VPN 在內的每個對外服務都啟用多因素驗證[3]。重新接回營運網路後，資安署建議持續監控內網流量並掃描端點，留意異常連線、殘留的惡意程式或再次入侵的跡象[2]。何時宣告事件結束，CISA 建議由指定的 IT 或資安主管依事先訂好的標準判定[1]。

要不要付贖金：管理階層要先知道的事

NIST 把勒索軟體帶給管理階層的難題描述成兩條路：付錢，並期待攻擊者守信、恢復存取且不公開資料；或不付錢，自行設法恢復營運[9]。這是經營決策，不是 IT 能單獨決定的技術問題。拍板之前，至少要把下列事實攤在桌上。

官方與執法單位的立場

  • CISA、MS-ISAC、NSA 與 FBI 不建議支付贖金，並指出付款不保證資料能解密、系統不再遭入侵，也不保證資料不會外洩[1]。
  • No More Ransom 指出，即使拿到正確的金鑰，惡意程式本身的錯誤也可能讓資料無法還原；而付款等於向犯罪者證明勒索有效[7]。
  • 美國財政部在下節介紹的諮詢中表示，這類付款會讓惡意行為者獲利並助長更多攻擊，而且付款後也不保證能取回資料或不再受攻擊[10]。

美國制裁風險：OFAC 的 2021 年諮詢

CISA 的指南提醒，支付贖金可能有制裁風險[1]。美國財政部海外資產控制辦公室（OFAC）在 2021 年 9 月 21 日發布更新版諮詢，取代 2020 年 10 月 1 日的版本，重點如下[10]：

  • 美國政府強烈不鼓勵民間企業與個人支付贖金或回應勒索。
  • 美國人（不論身在何處）一般禁止與 OFAC 特別指定國民（SDN）名單上的個人或實體、其他被封鎖者，以及受全面禁運的國家或地區（例如北韓、伊朗）直接或間接交易；非美國人的交易若導致美國人違反制裁，同樣被禁止。
  • 制裁違規的民事責任採嚴格責任：受美國管轄者即使不知道交易對象受制裁，也可能被追究。
  • 代受害者付款的金融機構、資安保險公司、數位鑑識與事件應變業者，除了助長後續勒索，自身也可能違反 OFAC 規定。
  • 涉及勒索付款的許可申請，OFAC 逐案審查並推定不予許可。
  • 事前落實資安防護、發現攻擊後儘速主動向執法機關完整報案並持續配合，OFAC 會視為重要的減輕因素。

這份諮詢自述只是說明性質，本身不具法律效力，拘束力來自它引用的美國法規[10]；它處理的是美國管轄所及的交易與人員，不是對所有台灣公司的直接規範。個案是否牽涉美國人或美國企業（例如經手付款的金融機構、保險或應變業者），需要法務與律師判斷。

誰要參與決定

  • 經營階層：NIST 把付不付款定位為管理階層的兩難[9]；CISA 也建議隨著狀況發展，定期向管理階層與高層報告[1]。
  • 法務：評估制裁、個資、合約與證券揭露等義務，並確保與攻擊者往來的紀錄完整保存。
  • 保險公司：CISA 把資安保險公司列為應通知的利害關係人之一[1]；若有投保，先確認保單對通知時限與指定應變廠商的要求。
  • 執法機關：CISA 建議向執法機關詢問解密工具[1]；OFAC 把儘速報案與持續配合列為減輕因素[10]。

不論最後怎麼決定，贖金金額、是否付款與付款使用的錢包，都在 CISA 列出執法單位可能需要的資料之中[1]，評估與決策過程也應一併記錄。付了錢也不代表事件結束，前面清除常駐機制、重建與修補入口的工作一樣要完成。

台灣的報案與通報管道

  • 報案：TWCERT/CC 勒索軟體專區建議向就近派出所報案，並提供資料遭加密情形的照片等佐證，或向內政部刑事警察局、法務部調查局尋求協助（專區列有聯絡信箱）[4]。資安署指引也把「涉及犯罪，向所在地警政機關報案」列為外部通報事項[2]。
  • TWCERT/CC：同一專區建議同時通報 TWCERT/CC[4]；事後可將去識別化的事件資訊透過 TWCERT/CC 分享，協助其他組織防範[5]。一般企業的線上與 Email 通報方式，見前 24 小時。
  • 資安法的特定非公務機關：依 2026 年 1 月 5 日修正名稱及全文的《資通安全事件通報應變及演練辦法》（原名《資通安全事件通報及應變辦法》）[11]，知悉資安事件後一小時內，要依中央目的事業主管機關指定的方式通報，等級變更時續行通報（第 11 條）；第一、二級事件於知悉後 72 小時內、重大資通安全事件於 36 小時內完成損害控制或復原，之後一個月內送交調查、處理及改善報告（第 13 條）[12]。適用對象與事件分級見資通安全管理法重點整理。
  • 重大訊息與個資：見上文「確認範圍」一節的連結；這兩項要和技術復原同步進行，不要等系統恢復後才處理。

行動清單

  1. 斷網不關機：拔網路線、關 Wi-Fi，多個網段受影響時在交換器層級離線；用電話協調，一次隔離到位。
  2. 保留勒索信、加密檔與惡意程式樣本、記憶體擷取與日誌，指定專人保管；不要刪除勒索信。
  3. 停用 VPN、遠端存取與單一登入等對外入口，停用非必要的特權帳號，保留緊急應變帳號，並隔離一至兩台確認乾淨的網域控制站。
  4. 未確認環境乾淨之前，不要把離線備份接回網路；還原前先掃描並驗證每一份備份。
  5. 查證是否遭竊資，盤點受影響資料，由法務評估個資、重大訊息與合約通知義務。
  6. 依勒索信與副檔名辨識家族，到 No More Ransom 查解密工具；暫時無解的加密檔另外保存。
  7. 依「復原網段、AD 與身分系統、核心基礎設施、關鍵業務系統、使用者端點」的順序還原。
  8. 找出並修補初始入侵途徑，清除常駐機制、全面重設密碼並補齊更新之後，才重新連線並持續監控。
  9. 付不付款交由經營階層、法務與保險公司共同評估，並先諮詢執法機關；完整記錄決策過程與所有與攻擊者的往來。
  10. 向警方報案、通報 TWCERT/CC；資安法納管的機關一小時內向主管機關通報。需要外部鑑識與復原支援，可參考事件應變服務。
  11. 事後檢討，補上這次缺少的備份、日誌與帳號分層，並以本站勒索軟體分類中的真實案例安排桌上演練。