企業一旦懷疑中了勒索軟件，最初一小時的處理方式，往往決定損失是可控還是災難性。以下是網達科技建議的 7 個應急步驟，適用於香港中小企的 IT 或行政人員在專業支援到場前使用。
如何判斷公司是否中了勒索軟件？
常見徵狀包括：檔案副檔名被改成陌生格式而無法開啟、每個資料夾出現勒索字條（通常是 .txt 或 .html）、桌面背景被更換、系統突然大幅變慢，以及防毒軟件被停用。若多台電腦同時出現上述情況，極可能是勒索軟件正在網絡內擴散。
中招後的 7 個應急步驟
- 隔離受影響裝置：立即拔除網線、關閉 Wi-Fi，但不要關機，因為記憶體中的資料對事後調查及解密可能有用。
- 切斷擴散途徑：暫停檔案伺服器共用、停用可疑帳戶，必要時暫時關閉對外網絡連線。
- 保留證據：拍下勒索字條、加密檔案及錯誤訊息，記錄發現問題的時間與最先受影響的電腦。
- 通知內部及專業支援：通報管理層，聯絡 IT 服務供應商或保安事故應變團隊，避免各自為政。
- 檢查備份狀態：確認是否有離線或異地備份未被加密，切勿在未清除病毒前將備份接回受感染網絡。
- 不要急於付贖金：付款不保證能取回資料，亦可能觸犯法規並助長攻擊。應先評估備份可還原的範圍。
- 清除與重建：受感染電腦應重灌系統而非只做掃毒，確認攻擊入口（多為釣魚郵件、外露的遠端桌面或未修補漏洞）已封閉後，才逐步還原資料。
應該報警或通報監管機構嗎？
香港企業可向香港警務處網絡安全及科技罪案調查科報案，並可聯絡香港電腦保安事故協調中心（HKCERT）尋求技術協調。若事件涉及個人資料外洩，應評估是否需按《個人資料（私隱）條例》通知私隱專員公署及受影響人士。
事後如何防止再次發生？
- 採用 3-2-1 備份策略：3 份資料、2 種媒體、1 份離線或異地存放，並定期測試還原。
- 為所有遠端存取及管理員帳戶啟用多重驗證（MFA）。
- 關閉不必要的遠端桌面（RDP）對外連接埠，改用 VPN。
- 定期修補作業系統及軟件漏洞，淘汰已終止支援的系統。
- 部署端點偵測及回應（EDR）方案，並為員工提供釣魚郵件辨識培訓。