一、為什麼多數資安專家反對支付贖金？

多數資安專家都會建議受害者不要支付贖金，也不要與犯罪分子協商付款，因為這樣做只會資助犯罪集團，使其得以持續營運。

有人之所以會遭到勒索軟體感染，其中一個原因就是在他們之前，已有其他受害者付錢給犯罪分子以換取資料解密。支付贖金會造成以下結果：

• 鼓勵攻擊者繼續犯案。
• 無法保證資料一定能恢復。
• 增加再次遭受攻擊的可能性。
• 強化犯罪分子對其商業模式的信心。

支付贖金的人越多，網路犯罪分子就越有動機繼續製作勒索軟體，以獲取經濟利益並攻擊更多受害者。讓勒索軟體變得無利可圖，是阻止這類犯罪的有效方式。

此外，無論是協商或支付贖金，都無法保證檔案一定能成功解密或復原。即使受害者願意付款，也可能因為以下原因而無法取回資料：

• 加密過程已造成檔案損毀。
• 犯罪分子沒有提供金鑰或解密工具。
• 犯罪分子關閉或放棄勒索通知中所列的 TOR 網站。
• 犯罪分子在收取第一次贖金後，要求支付第二筆贖金。
• 犯罪分子從一開始就沒有提供復原方式的打算，無論受害者如何配合，付款後仍不會解密檔案。
• 犯罪分子可能直接刪除受害者的檔案，或在攻擊中摧毀資料，使受害者即使付款也無法復原。

美國聯邦調查局（FBI）表示：

聯邦調查局不鼓勵因遭受勒索軟體攻擊而支付贖金。（The FBI does not support paying a ransom in response to a ransomware attack.）

二、政府與資安機構的公開立場

• 全球 40 國將共同簽署協定，共同拒付勒贖贖金。
• Kaspersky Lab：Why you should NOT pay ransom to malware creators
• Europol：Don’t pay the ransom.
• Emsisoft：Why Paying Ransom Doesn’t Pay

三、付款不代表資料一定能恢復

勒索軟體的現實衝擊：92% 的付款者未能取回全部資料

參考文章：Over half of ransomware victims pay the ransom, but only a quarter see their full data returned

與其支付贖金，更應將資源投入預防與韌性建設，包括：

1. 修補系統弱點。
2. 強化資安意識。
3. 建立具備冗餘機制的資料備份。
4. 建構採用多層次防護的完整資安策略。

在美國，司法部在 2018 年由大陪審團起訴伊朗駭客後，支付贖金可能涉及違反美國制裁規定。美國受害者及企業可能因付款而面臨法律後果。

• Ransomware Advisory

四、支付贖金後仍可能遭遇的問題

部分勒索軟體受害者表示，付款後確實成功解密資料；但也有許多受害者回報以下情況：

• 犯罪分子未提供解密工具或金鑰。
• 收到的解密軟體或金鑰完全無法使用。
• 解密工具無法正常運作，可能故障、有缺陷或是偽造工具。
• 解密過程出現錯誤，甚至造成更嚴重的檔案損毀。
• 付了解密工具費用後，犯罪分子又要求支付更多費用才能取得金鑰。
• 犯罪分子持續要求額外付款，卻從未提出解決方案。
• 犯罪分子在收款後拒絕解密檔案。
• 犯罪分子在付款後仍清除或刪除資料。
• 犯罪分子提供的工具根本無法解密檔案。

犯罪分子有時會願意談判、降低贖金，或要求受害者在特定論壇發文，並承諾提供折扣。

但在某些案例中，犯罪分子會進一步勒索，例如：

• 威脅摧毀或刪除已加密資料。
• 若不支付贖金，便威脅揭露、外洩或公開資料。
• 在第一次贖金之外，再要求支付第二筆贖金，以換取不公開遭竊資料。
• 認為有利可圖，加碼贖金。
• 建立專門公開外洩資料的網站。

五、解密工具、重複加密與 NAS 的風險

許多犯罪分子會在勒索通知中提供操作說明，允許受害者提交一至兩個容量有限的檔案進行免費解密，以證明其具備解密能力。

然而，即使少量檔案可以解密，也不代表大量檔案一定能順利處理：

• 批次解密可能無法正常運作。
• 超大型檔案可能因部分或間歇式加密而無法成功解密。
• 受害者可能遇到的是詐騙型勒索軟體。
• 受害者也可能遭遇資料抹除程式（wiper），檔案已被完整覆寫，犯罪分子根本無意或沒有能力在付款後恢復資料。

雙重或多重加密

若資料遭到雙重或多重加密，而且加密是由不同勒索軟體家族造成，受害者可能必須分別處理：

• 多種勒索軟體。
• 多筆贖金要求。
• 不同的解密工具。

這會使成功解密的機率進一步降低。

勒索軟體不會在意資料內容，也不會在意檔案是否已經被加密。只要仍有存取權限，它就可能不斷對檔案進行重複加密。即使是同一種勒索軟體，也可能以不同變種多次加密檔案，導致資料在過程中反覆損毀。任何檔案損毀都會增加後續解密的困難度。

NAS 裝置注意事項

若受害者使用的是以 Linux 為基礎的 NAS（Network Attached Storage，網路附加儲存裝置），惡意程式很可能先感染 Windows 電腦，再透過網路加密 NAS 中的檔案。

犯罪分子也可能透過 Samba／SMB（Server Message Block，伺服器訊息區塊）連線，從其系統經由網際網路執行惡意程式並加密檔案。這在本質上與加密網路磁碟機中的檔案相同。

因此，受害者在考慮付款前必須了解：

• 解密不保證成功。
• 犯罪分子提供的解密工具不保證能如其宣稱般運作。
• 使用故障或有缺陷的解密工具，或使用不適用於該勒索軟體的錯誤工具，可能造成額外損害並進一步破壞加密檔案。
• 犯罪分子可能傳送含有其他惡意程式的檔案，或提供偽造的解密工具。

既然對方就是感染你系統的人，就不應輕易相信他們提供的任何程式或承諾。

六、不付款並等待，可能獲得免費解密機會

資安專家有時能透過逆向工程、發現並利用勒索軟體的漏洞，甚至偶然發現程式設計錯誤，進而製作免費解密工具；部分網路犯罪分子也可能在一段時間後，基於各種原因公開主私鑰。

面對勒索軟體時，不付款並保持耐心可能更有價值

執法機關與資訊安全產業全天候追查這些犯罪行為。執法機關經常查扣伺服器、筆記型電腦及其他證物，這些證物可能帶來案件突破。查扣行動有時能取得特定勒索軟體的主金鑰，或獲得足夠證據，大幅協助公開解密工具的開發。此外，全球有一個活躍的資安研究網路，持續研究相關問題並開發新的解密工具。結論是：如果你有能力等待，就應該等待。

儘管如此，我也能理解某些個人、或企業在不得已的情況下支付贖金，部分勒索軟體受害者與資訊主管可能認為自己別無選擇，只能冒險支付贖金，或付出高額費用使用災難復原服務，希望找回無法取代的個人、企業或其他重要資料。

對某些個人或企業而言，永久失去資料可能造成財務崩潰或其他重大損失。是否付款，最終仍是每一位受影響者必須自行作出的決定。我不會批評任何支付贖金的個人、或企業。

執法機關建議不要支付贖金，以消除網路犯罪分子從事此類詐騙的誘因。但對只想取回檔案並恢復工作的資訊決策者而言，這往往不是他們當下最關心的事情。若組織可能失去數週或數月的資料，他們可能把這筆支出視為一次代價昂貴的教訓。

七、使用資料復原服務前的重要警告

如果你正考慮使用第三方解密服務、或資料復原服務，務必審慎評估。

我不建議任何宣稱可以提供解密服務讓資料復原的第三方原因包括：

• 無法掌握所有公司或個人的背景、專業能力及動機。
• 無法確認對方是否真的擁有資料復原技術。
• 無法確認對方是否只是代替受害者支付贖金以取得金鑰。
• 無法排除對方本身就是勒索軟體營運者。

基於相同理由，不建議受害者：

• 向身分不明的人提供遠端存取權限。
• 提供可能遭到竊取的資料。

在向任何人匯款或支付費用之前，應仔細確認：

1. 對方是誰。
2. 對方實際能提供什麼服務。
3. 對方提出的成功率或技術主張是否可信。

即使個人或公司可能是合法業者，許多聲稱能解密檔案的資料復原服務實際上只是「中間人」。這些業者可能：

• 直接支付贖金給犯罪分子，再假裝是自行破解加密，並向受害者收取高於贖金的費用。
• 不告知客戶其實是透過支付贖金取得解密方式。
• 隱瞞實際贖金金額，並將費用大幅加價。
• 要求受害者提供一至兩個小型檔案免費解密，宣稱成功率為 100%，收錢後再要求更多費用或直接失聯。

勒索軟體的製作者與散布者也會採用相同手法。

部分資料復原服務的運作方式幾乎等同詐騙；另有業者被指控：

• 虛假宣稱能解密實際上無法解密的勒索軟體資料。
• 收取評估費用，卻無法提出有效解決方案。

Emsisoft 資安研究人員 Brett Callow 曾假扮客戶，聯絡 Fast Data Recovery，詢問該公司能否解密遭加密的檔案。該公司先以自動回覆郵件聲稱自己擁有「100% 勒索軟體資料復原」的成功紀錄，之後又寄出另一封追蹤後續狀況的郵件。

• If it sounds too good to be true, it most likely is: Nobody can decrypt the Dharma ransomware

Callow 隨後中止與 Fast Data Recovery 的聯繫。但這起案例與其他公司非常相似：這些公司聲稱能解密勒索軟體，實際上只是充當中間人，以「解密」為名向受害者收費，再支付贖金給犯罪分子，並從中賺取價差。

專家曾將以下公司列為部分最不誠實、最具掠奪性的資料復原服務：

• Proven Data
• Red Mosquito
• MonsterCloud
• Dr. Shifro
• Fast Data Recovery

Coveware 執行長 Bill Siege 將這類資料復原服務稱為「勒索付款工廠（ransomware payment mills）」。

這些勒索付款工廠顯示，中間人可以多麼容易地利用勒索軟體受害者的情緒。他們宣稱不用向駭客付款就能保證解密。雖然刻意隱瞞加密資料實際如何復原，未必一定違法，但這種行為顯然不誠實且具有掠奪性。

• Beware of Dishonest Ransomware Recovery firms

許多資安專家都曾撰文揭露資料復原服務的掠奪性作法，包括欺騙受害者、虛假保證可以解密，並藉此收取費用。

根據 Bleeping Computer 報導，MonsterCloud 的執行長 Zohar Pinhasi 於今年 10 月 7 日被紐約東區大陪審團指控，因為當作駭客集團與受害者的中間人，藉由付款給駭客拿到解密金鑰後，加價賣給受害者，面臨兩項電信欺詐罪和一項電信欺詐共謀罪。

The owner of ransomware remediation company MonsterCloud has been charged with allegedly defrauding ransomware victims by secretly paying their attackers for decryptors while claiming to use proprietary technology to recover encrypted data.

八、避免遭到二次詐騙

勒索軟體受害者應該忽略任何透過論壇私人訊息（PM）或電子郵件主動聯絡，並聲稱能解密資料的人。不要回覆、不要與其交易，也不要協商付款。

許多詐騙者與資料復原服務有關。他們通常會：

• 要求受害者提供一至兩個容量有限的檔案進行免費解密。
• 以此證明自己能解密檔案。
• 宣稱成功率為 100%。
• 收取費用後要求更多金錢，或直接失去聯繫。
• 提供 YouTube 影片連結，作為其具備解密能力的進一步「證明」。

勒索軟體製作者與散布者也會採取相同手法。

因此，在向任何個人或公司匯款或付款前，務必審慎確認其身分、服務內容與相關主張。

受害者也應忽略網路搜尋結果中大量虛假、不可信任的勒索軟體解密與移除指南，包括 Facebook 與 YouTube 影片。許多內容會錯誤聲稱已找到解密方案。

當專業研究人員發表新型勒索軟體的分析後，網路上常會迅速出現充滿錯誤資訊的垃圾文章，其目的可能是：

• 恐嚇受害者。
• 刺激或誘導受害者採取不當行動。
• 欺騙絕望的受害者使用或購買多半無效的移除及解密軟體。

搜尋相關資訊時，只應使用可信任的來源。不要讓自己受害第二次。

九、通報勒索軟體、惡意程式散布與網路犯罪

中華民國刑法第三十六章「妨害電腦使用罪」第 360 條：無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備，致生損害於公眾或他人者，處三年以下有期徒刑、拘役或科或併科三十萬元以下罰金。

遭受勒索軟體或惡意程式攻擊後，請依台灣電腦網路危機處理暨協調中心（TWCERT/CC）「勒索軟體威脅防護專區-事中處理」進行處置：

1. 立即斷開受感染設備與所有網路的連接，無論是有線、無線還是基於行動網路。在非常嚴重的情況下，可考慮關閉 Wi-Fi、禁用任何核心網路連接（包括交換機）以及斷開網路連接。
2. 若系統服務遭受勒索軟體影響而中斷，在確認備援機已與感染網路隔絕，並正常運行後，即可啟動系統備援機制，以維持系統服務不間斷。
3. 依內部通報程序進行通報，啟動相關應變措施。
4. 向就近的派出所報案並提供受駭侵佐證資料(如：資料被加密情形之照片)，或尋求法務部調查局 service@mjib.gov.tw / 內政部刑事警察局 cib.noransom@cib.npa.gov.tw 尋求協助，並通報 TWCERT/CC。
5. 尋求外部資安專業單位協助事件處理。
6. 區段隔離實體網路並監控流量以確認感染範圍。
7. 盤點可能受影響設備，將這些設備進行預防性的隔離，並對這些設備執行防毒軟體掃描。
8. 盤點受影響資料範圍，包括: 設計開發、測試、財務、客戶、供應商、帳號密碼等機敏資料，以備研議資料毀損或外洩之因應措施。
9. 大多數被勒索軟體加密的資料難以被破解，但仍可嘗試透過勒索軟體名稱、副檔名等資訊，檢閱該病毒的類型。
10. 在 No More Ransom（NMR）計畫網站上，尋找可信任資安單位提供的解密工具；如果身處國外，可於該網站點擊「通報犯罪事件」提出通報。
11. 針對未能找到解密工具的檔案，可以先將這些檔案備份到安全的地方，當未來出現解密工具時就可以使用。
12. 將系統日誌檔進行備份，交由外部資安團隊進行分析，可以了解事件發生原因，進行降低二次感染的機會。

通報勒索軟體攻擊事件有助於執法機關：

1. 追查、逮捕並起訴開發及散布勒索軟體的網路犯罪分子。
2. 查扣犯罪分子的指揮與控制伺服器（C2 servers）。
3. 找到主私鑰資料庫並向大眾公開。
4. 協助資安專家為受害者建立解密工具。