早上開機，共用資料夾裡的檔案全變成看不懂的副檔名，桌面上多了一張要你付款的說明圖。這種情況前一個小時的處理順序，會決定最後還救得回多少資料。
先斷網，不要急著重開機
把中標那台電腦的網路線拔掉，Wi-Fi 關掉。勒索程式會在區網裡找其他機器，也會去加密網路磁碟，一台還沒處理完，整間公司的檔案已經被掃過一遍。
同時通知同事先不要開機、先不要插隨身碟，共用資料夾的權限暫時關掉。有些加密程序是重開機之後才開始跑，看到異狀時先不要按電源鍵。
離線的那一份才算備份
備份一直掛在網路上，勒索程式找得到就會一起加密。真正救得回資料的通常是兩種：備份完成就斷線的外接硬碟，或是寫入之後不能修改、不能刪除的雲端空間。
常見的錯誤是把備份放在同一台 NAS、同一組帳號底下。帳密被拿走，主機和備份會一起淪陷。
還原演練比備份本身重要
備份有在做，不代表還原得回來。檔案可能早就損壞，備份排程可能停了幾個月沒人發現，資料庫的備份可能少了對應的附件檔。這些問題平常看不出來，要實際還原一次才會現形。
做法是每季挑一台機器，在隔離的環境裡還原某個共用資料夾，記下花多少時間、缺了什麼。也要確認知道步驟的人不只一位。
把進來的門收窄
勒索集團最常走的兩個入口，一個是對外開放的遠端桌面，一個是夾帶附件的釣魚信。遠端桌面不要直接暴露在公網，改用 VPN 連進來。能登入伺服器與 NAS 的帳號一律開多因子驗證。作業系統和瀏覽器的更新不要拖，多數入侵用的是早就修補過的漏洞。
付贖金通常不是解答
付了錢拿不到解密工具的案例一直都有。付款也等於告訴對方這家公司付得出來，之後再被攻擊的機率不低。先把備份還原做完、評估損失範圍，同時報警並保留紀錄，對後續的理賠與法律程序都有幫助。
尚筠科技協助企業規劃備份架構、權限設定與還原演練，包含 NAS、異地備份與遠端存取的防護。電話 02-2397-2716。