懷疑遭勒索攻擊 先看你的角色
同一宗事故，不同崗位有不同任務。選擇適合你的版本，確認當前行動和交接資料。
通知事故負責人，先由已授權人員隔離受影響裝置的網絡連線。只有無法暫停網絡或以其他方式斷開受影響主機時，才考慮關機阻止擴散；關機會失去記憶體證據。不要自行重裝或清除檔案；涉及人身安全的設備，停機須按既有應變程序評估。
YOUR ROLE / 你的任務
管理層版本
先保障人員與關鍵服務，讓停機、通知及復原都有負責人和決策記錄。
- 01
啟動事故指揮
指定一名事故負責人，召集 IT、網安、業務及相關支援人員。改用已確認安全的通訊方式，記下誰有權批准停機、支出和對外說明。
- 02
排定業務優先次序
列出已中斷服務、受影響客戶及可行的手動替代程序。讓技術團隊說明繼續運作的風險，再決定哪些服務暫停、哪些先復原。
- 03
安排通知與支援
依所在地、合約及資料種類，請相關負責人確認通報安排；指派一個對外窗口。把已證實事實、仍待查事項及下次更新時間分開說明。
- 04
批准分階段復原
要求團隊先確認入侵入口、備份可用性及復原環境，再批准服務逐步重新開放。收到勒索要求先保存，不把付款當作恢復服務的保證。
交接時帶上甚麼
向技術與調查團隊交代：事故負責人、重要服務排序、可接受停機影響、資源授權及對外聯絡窗口。
YOUR ROLE / 你的任務
IT 版本
在授權下隔離受影響環境，保留調查線索，再於乾淨環境恢復服務。
- 01
確認範圍並隔離
記錄裝置、帳戶與首次發現時間。由已授權人員隔離受影響裝置的網絡連線，核查相連伺服器與雲端服務，避免把可疑備份接回正常網絡。
- 02
保留線索再作清理
保存勒索訊息、告警、登入與系統日誌，記下已做過的操作。不要先重裝、刪檔或反覆重新開機；涉及記憶體或磁碟取證時，交由網安專家安排。
- 03
處理遭濫用的存取
與事故負責人協調停用受影響帳戶、撤銷工作階段及金鑰輪替。從乾淨的管理裝置操作，盤點遠端入口和權限，避免只改一個密碼便當作完成處理。
- 04
在隔離環境測試復原
核對備份時間及是否含入侵痕跡，先在隔離環境測試還原。確認需要的修補、存取限制及監察後，按核准次序恢復，並留意再次異常。
交接時帶上甚麼
交給網安專家：裝置與帳戶清單、時間及時區、日誌位置、隔離操作、備份狀態、尚未處理的依賴服務。
YOUR ROLE / 你的任務
網安專家版本
把假設與證據分開，協調遏止、調查和復原所需的技術工作。
- 01
建立事件時間線
關聯端點、身分、網絡及雲端日誌，核查初始入口、權限提升、橫向移動及資料外傳。把已確認範圍與仍需驗證的假設分開記錄。
- 02
安排證據保全
依授權及案件需要取得記憶體或磁碟映像，保留原件並用副本分析。記錄採集人、時間、工具及雜湊值，維持證據保管鏈；採集順序需兼顧仍在擴散的風險。
- 03
遏止並移除持續存取
與 IT 協調網絡分段、帳戶與金鑰撤銷、惡意持續存取及漏洞修補。依證據調整偵測與搜尋範圍，不以單一 IP、檔名或勒索名稱直接斷定攻擊者身分。
- 04
驗證復原與整理報告
定義回復服務的技術條件，驗證備份與乾淨重建環境，安排復原後監察。交付範圍、根因、處理紀錄、未解問題與改善項目，並準備所需的安全證據交接。
交接時帶上甚麼
交給管理層與獲授權調查方：技術時間線、證據索引、已確認影響、可信程度、遏止與復原建議；敏感資料用約定渠道傳送。
YOUR ROLE / 你的任務
執法部門版本
供獲授權人員閱讀的案件資料與交接重點，具體調查依所屬機關程序及適用法律處理。
- 01
釐清案件及聯絡人
記錄報案方、聯絡窗口、事故時間、受影響地點和業務影響。區分受害方陳述、技術觀察與已核實證據，並釐清司法管轄與資料取得權限。
- 02
建立證據清單與交接紀錄
按需要接收勒索訊息、通訊紀錄、帳戶及系統線索、交易識別資料與技術報告。逐項記下來源、取得方式、時間、雜湊值和交接人，保護原件並控制存取。
- 03
與應變團隊協調保全
及早說明需保存的日誌、裝置與資料範圍，協調服務復原與證據保存。清楚記錄採集前已執行的隔離或修復操作，不要求未受訓人員自行進行高風險取證。
- 04
按正式渠道跟進
依機關程序與服務供應商、其他司法管轄機關及相關單位聯絡。向報案方提供案件聯絡安排及所需補充資料，不對逮捕、解密、追款或結果作保證。
交接時帶上甚麼
接收或移交時確認：案件識別、提供者權限、證據清單、保管與交接紀錄、限制條件及下一位負責人。
官方參考與求助入口
四個版本是按角色整理的教育資料，並非官方執法程序。HKCERT 的保安事故支援與向警方報案是不同渠道，向其中一方提供資料不代表已完成另一方的程序。各機構的受理範圍及聯絡安排以官方頁面為準。