畫面突然變紅：檔案不是此刻才開始被鎖

勒索通知出現在螢幕上的那一刻，通常只是整起事件被看見的時間點。詐騙集團可能早已透過偽造郵件附件、破解版軟體、惡意瀏覽器外掛或暴露在網路上的遠端桌面進入裝置，並在背景檢查文件、照片、資料庫與備份位置。當加密程序啟動後，常見檔案會突然改變副檔名，Windows 資料夾無法正常開啟，桌面上則出現要求支付加密貨幣的通知。 現代勒索軟體不只鎖住單一電腦。若裝置仍連接公司內部網路、Synology 儲存裝置或共享資料夾，惡意程式可能繼續接觸其他可寫入的位置。OneDrive、Google Drive 與 Dropbox 的同步功能也可能把已加密版本上傳雲端，讓原本用來保護資料的便利機制反而擴大影響範圍。 檔案打不開並不代表資料一定永久消失，但受害者此時的每個操作都可能改變恢復條件。反覆重開機、安裝不明解密工具或急著刪除檔案，可能覆寫調查所需的紀錄，也會讓後續判斷感染來源變得更困難。

倒數計時開始：詐騙集團真正施壓的是恐慌

勒索畫面常使用紅色警告、金額倒數、資料刪除威脅與比特幣付款地址，目的不是提供可信的交易流程，而是縮短受害者思考與求證的時間。部分案件還會聲稱已取得客戶名單、私人照片或公司機密，形成檔案加密與資料外洩的雙重壓力。即使裝置仍能操作，也不能因此判斷資料沒有被複製。 支付贖金不等於購買正式的資料救援服務。付款後可能收不到解密工具，收到的程式也可能速度緩慢、損壞檔案或再次植入惡意內容。付款紀錄還可能讓詐騙集團確認受害者願意支付，增加後續再次勒索或轉售資料的風險。

技術人員緊急拔除網路線阻止勒索軟體在辦公室電腦間擴散，紅藍光影呈現即時隔離行動。

拔掉網路線：受害後需要完成的四個動作

發現檔案正在大量改名、無法開啟或同步異常時，應先控制擴散，再考慮清理與恢復。若只是關閉勒索視窗，背景程序仍可能繼續運作。電腦仍有反應時，可拔除網路線並關閉 Wi-Fi；若加密速度持續加快，則應依實際狀況停止裝置運作，避免更多檔案遭到處理。

  1. 立即中斷網路，阻止感染持續擴散
  2. 保存螢幕、檔名與勒索通知完整畫面
  3. 隔離外接硬碟與雲端同步資料夾
  4. 使用乾淨裝置更換高風險帳號密碼

這些動作的重點不是立刻把電腦恢復正常，而是保留可判斷感染類型、時間與影響範圍的線索。勒索通知名稱、加密後的副檔名、可疑郵件、下載紀錄及登入活動，都可能協助辨識勒索軟體家族，並確認是否存在可信來源的解密工具。 帳號密碼應在另一台確認乾淨的裝置上更換，並優先處理電子郵件、Microsoft 365、雲端硬碟、遠端桌面與管理員帳號。若直接在疑似受感染的電腦輸入新密碼，憑證仍可能再次外洩。

備份也可能被找到：資料恢復前要先確認安全邊界

資料恢復不能只看有沒有備份，還要確認備份是否與受感染環境保持隔離。長期連接電腦的外接硬碟、可直接寫入的網路儲存空間，以及持續同步的雲端資料夾，都可能留下被加密版本。較安全的做法是檢查離線備份、雲端版本紀錄、快照與歷史版本，再從乾淨系統中進行還原測試。 若事件涉及多台裝置、公司帳號或可能的資料外洩，VexelOps 可協助整理感染時間線、可疑連線與受影響範圍，讓後續處置建立在可驗證的證據上，而不是只依賴勒索畫面的說法。是否重灌系統、保留磁碟映像或啟用備份，應依裝置用途與證據需求分開判斷。 清除惡意程式後，也不應立即把所有備份接回原本網路。應先修補作業系統與應用程式、關閉不需要的遠端服務、更新路由器及儲存裝置密碼，再以少量檔案測試還原結果。只有當登入權限、同步設定與端點狀態都確認安全，完整恢復才不會把原有風險帶回環境。

關於勒索軟體攻擊與檔案加密的常見問題

付了贖金就一定能拿回被加密的檔案嗎

無法保證。勒索通知是詐騙集團單方面提出的要求，付款後沒有合約、客服或技術品質保障。有些受害者收到的解密程式無法處理全部檔案，有些則在付款後被要求追加金額。即使資料成功解密，也不能證明外洩副本已被刪除。 處理前應保留勒索通知、付款地址、加密副檔名與少量樣本，並確認是否已有可信資安機構發布免費解密工具。企業還需要同步評估法律、保險、通報與營運影響，不能只以能否開啟檔案作為判斷標準。

發現檔案正在被加密時應該斷網還是關機

斷網能快速切斷裝置與外部控制來源、雲端同步及內部網路的連線，適合裝置仍能正常操作且需要保留現場狀態時使用。拔除網路線後，也要關閉 Wi-Fi、藍牙與其他可能維持連線的介面，並避免把外接儲存裝置繼續留在電腦上。 如果畫面顯示大量檔案仍在快速改名或共享資料夾持續受影響，停止裝置運作可能有助降低進一步加密，但也會改變記憶體中的調查資料。個人裝置可依資料重要性採取緊急隔離；涉及企業伺服器或重大事件時，應由熟悉數位鑑識的人員判斷，以兼顧止損與證據保存。

OneDrive 或 Google Drive 能救回被加密的資料嗎

雲端硬碟的版本紀錄有機會恢復較早的正常檔案，但前提是歷史版本尚未過期、沒有被大量刪除，且帳號本身仍由使用者控制。不要在受感染裝置上直接啟動全面同步，否則本機的加密版本可能繼續覆蓋雲端內容。 較穩妥的方式是先暫停同步並保護帳號，再透過乾淨裝置檢查版本歷史、回收桶與異常登入紀錄。還原前應確認感染來源已移除，並將少量檔案下載到隔離環境測試，避免把可疑執行檔或惡意附件一併帶回新系統。

One Key Takeaway： 檔案被加密時先斷網、保留證據並隔離備份。不要因倒數畫面倉促付款，確認感染範圍後再恢復資料。