勒索軟體是一種加密你的檔案、並索要贖金才肯復原的惡意軟體。本文講解它的運作原理，以及無需支付贖金就能應對的防禦措施（不公開攻擊手法）。
運作原理：分工合作的犯罪事業
經典的勒索軟體會把終端或伺服器裡的檔案逐一加密，並留下「想要解密金鑰就付錢」的勒索信。但當今威脅的本質，與其說在技術，不如說在於變現的機制。
**雙重勒索（Double Extortion）**中，攻擊者會在加密之前先竊取資料。所以即便受害者能用自己的備份復原，仍會面臨「不付款就公開竊取到的資料」這第二重威脅。「有備份就沒事」之所以變得不再管用，正是因為這一變化。再加上 RaaS（勒索軟體即服務），讓製造工具的人和實際發動攻擊的人實現了分工，攻擊的門檻大幅降低。
主要入侵途徑
勒索軟體並非憑空出現，而是經由幾乎固定的幾條途徑進來。擋住這些途徑是第一道防禦。
① 釣魚
來自郵件附件·連結。最常見的途徑。對策＝MFA·郵件防護·培訓
② 暴露在外的 VPN/RDP
弱密碼/無 MFA 的遠端連線。對策＝強制 MFA·收緊暴露面
③ 未修補的漏洞
公開軟體中已知的漏洞。對策＝迅速修補
作為實例，本站也曾介紹過的 MOVEit Transfer 大規模外洩事件，就是勒索軟體集團利用面向網際網路的軟體中的未修補漏洞、在修復修補程式發布前就被竊走大量資料的雙重勒索型案例。它很好地說明了：勒索軟體的入侵途徑絕不只是「郵件附件」。
勒索軟體與一般惡意軟體的比較
勒索軟體是惡意軟體的一種，但目的與被察覺的時間點大不相同（→ 什麼是惡意軟體）。
| 一般惡意軟體（間諜軟體等） | 勒索軟體 | |
|---|---|---|
| 目的 | 不被察覺地竊取資訊或操控裝置 | 讓業務停擺並讓對方付贖金 |
| 何時察覺 | 常在不知不覺中長期運作 | 以加密與勒索信的形式突然現身 |
| 主要損害 | 資料外洩、詐騙轉帳、被當成攻擊他人的跳板 | 業務停擺，加上竊得資料被公開 |
| 決定結果的關鍵 | 偵測（EDR）與保護登入憑證 | 離線備份與不讓攻擊者進入 |
實例：日本的勒索軟體事故
以下是本站介紹過的日本案例。入侵入口大多是面向網際網路的 VPN 設備或遭竊的登入憑證。
| 案例 | 公布的入侵入口 | 損害與復原 |
|---|---|---|
| Capcom（2020） | 未淘汰的舊 VPN 設備 | 最多約 39 萬人的個資可能外洩；未付款，從備份復原 |
| 半田醫院（2021，英文） | 未修補的 VPN 設備漏洞 | 備份放在同一網路內而一併被加密；電子病歷花了約兩個月才復原 |
| 大阪急性期・綜合醫療中心（2022，英文） | 供餐委外業者的 VPN 設備 | 經由委外業者入侵；門診、手術與急診受到限制；完全復原花了兩個多月 |
| KADOKAWA（2024） | 依公司說明，是遭釣魚竊取的登入憑證 | 集團多項服務長期停擺；約 25 萬人的個資外洩 |
| Medica 出版（2026，英文） | 依公司說明，是使用正規帳號憑證的入侵 | 約 64.1 萬人被通知「可能外洩」 |
共通點在於：面向網際網路的入口如何管理，以及備份放在哪裡。VPN 設備的防護方式，請見 VPN 設備是勒索軟體的主要入口（英文）。
防禦：打造無需付款也能復原的狀態
持有離線/防竄改的備份（最重要）
復原的決定性手段是備份。但始終在線且可被改寫的備份有可能一起被加密，所以要持有至少一份離線、或防竄改（不可變 immutable）的副本。並且要定期做「是否真的能復原」的復原演練。詳情參見 備份與復原的基礎（3-2-1）。
防止入侵：MFA 與修補
對最主要的途徑（容易被釣魚的登入和暴露在外的遠端連線），必須啟用多因素認證（MFA）。對外公開的軟體要迅速修補已知漏洞。僅此就能阻止大量入侵（→ 如何選擇 MFA）。
限制損害：最小權限與網路隔離
為了萬一被攻入也不至於全公司被加密，要把權限控制到必要的最小限度，並對網路進行隔離（分段）。把架構設計成一台被攻陷不會蔓延到整體，就能把損害局部化。
準備好偵測與「被感染之後」的流程
即便做了這些防禦，也不可能完全預防。所以要盡早偵測異常，並事先確定感染時誰該做什麼的事件回應流程（隔離·通報·復原的先後順序）。在慌忙付款之前，先打造一個能嘗試遏制與復原的體制。
本站的觀點：不要依賴付款，要事先做好準備
關於是否該支付贖金這個問題，本站的立場很明確——先做好無需付款也能應對的準備。付了也不保證能解密，若是雙重勒索連公開都阻止不了，還要背負為犯罪提供資金、作為「會付錢的對象」被再次盯上的風險。
所以重要的不是事故應對，而是事前準備：能復原的離線備份，以及用 MFA·修補防止攻擊者入侵。這兩者齊備，勒索軟體造成的損害就能停留在「麻煩但能復原的事故」這個程度。
發現感染時的最初步驟
從網路斷開
拔掉網路線、關閉 Wi-Fi，阻止它擴散到其他裝置與備份。避免隨意重新開機或關機，那可能會抹掉調查需要的紀錄。
聯絡內部負責人與外部機關
組織內請使用事先約定好的聯絡管道。向警方或所在地的網路犯罪通報窗口報案；若個人資料可能外洩，請確認個資主管機關的通報規定。
確認有無解密工具與乾淨的備份
如果從勒索信得知家族名稱，可到 No More Ransom 確認是否有免費解密工具。同時確認是否有未受攻擊波及的備份。
如何檢查自己的環境
- 列出面向網際網路的 VPN 設備與防火牆的產品名稱與版本，用廠商公告與 CVE / KEV 查詢確認是否還留著已被利用的漏洞
- 確認遠端桌面（RDP，通常是 3389 埠）無法從網際網路直接連線
- 確認 VPN 與遠端連線帳號都要求多因素認證（MFA），而且沒有留下不再使用的帳號
- 確認至少有一份備份放在正式環境憑證刪不掉的地方（離線，或啟用了不可變設定），並實際從中還原一個檔案
「有備份＝安全」已經不再成立
過去只要有備份，勒索軟體就不可怕。但如今雙重勒索已成主流，用備份「能復原」和「不讓資料被竊取」是兩回事。攻擊者會在加密之前抽走資料，再逼迫「不付款就公開」。所以兩者都需要：不僅要能復原（備份），還要防止攻擊者進入、防止資料被帶走（入侵防範）。不止步於「我們有備份」，正是當今勒索軟體防禦的出發點。
出處（一手資料）
- 日本警察廳「ランサムウェア被害防止対策」（日文）— npa.go.jp（受害時的應對與預防）
- No More Ransom, "About the project" — nomoreransom.org（免費解密工具）
- CISA, "#StopRansomware Guide" — cisa.gov（離線備份與應變檢查清單）
- 日本個人情報保護委員會「漏えい等の対応」（日文）— ppc.go.jp
接下來閱讀
- 入門：備份與復原的基礎（無需付款也能復原的基本做法，包括 3-2-1 規則）
- 入門：如何選擇雙因素認證（MFA）（擋住最主要的入侵途徑）
- 術語：什麼是釣魚（從源頭切斷最大的入侵途徑）
- 案例：MOVEit Transfer 大規模外洩（經由未修補漏洞的雙重勒索實例）
- 術語：什麼是 C2（指揮控制伺服器）（感染後從外部遠端操控的指揮通訊）
- 術語：什麼是惡意軟體（包含勒索軟體在內的惡意軟體概觀·共通防禦）
- 案例：Capcom 勒索軟體事件（2020）（老舊 VPN 裝置成為入侵口·雙重勒索·未付款即復原）