網路勒索：風險與預防指南

什麼是網路勒索？

在網路勒索攻擊中，犯罪分子會入侵您的系統、竊取您的資料，或中斷您的營運，然後要求以加密貨幣付款，以停止攻擊或防止資料外洩。根據 FBI 於 2025 年 4 月 24 日發布的 2024 年網際網路犯罪投訴中心報告，2024 年勒索投訴激增至 12,618 起事件，較 2023 年的 5,396 起投訴增加 134%。

現代網路勒索透過資料勒索與加密威脅，同時鎖定您的營收、營運持續性與法規遵循。根據 FinCEN 的 Financial Trend Analysis，勒索軟體集團在 2022 年至 2024 年間勒索超過 21 億美元，其中製造業、金融服務業與醫療保健業是最常被鎖定的產業。

網路勒索對組織的影響

網路勒索會在您的業務中造成連鎖效應。財務影響遠不止於贖金要求。2024 年 Change Healthcare 攻擊導致數十億美元的應變成本，涵蓋事件回應、系統復原、法規通知與業務中斷。

營運中斷會進一步加劇財務損失。當 NHS 病理服務供應商 Synnovis 遭受 勒索軟體攻擊 於 2024 年 6 月發生時，倫敦各地醫院延後了超過 1,100 項選擇性手術與 2,000 次門診預約。輸血、癌症治療與剖腹產均遭延誤，因為病患照護直接受到影響。即使系統恢復後，聲譽損害仍會持續存在，而資料外洩的監管罰則則增加了額外的財務負擔，尤其是在醫療保健與金融服務領域。

要理解這些攻擊為何會造成如此廣泛的損害，需要將網路勒索與較單純的勒索軟體攻擊區分開來。

網路勒索與勒索軟體

勒索軟體會加密您的檔案，並要求付款以取得解密金鑰。網路勒索涵蓋勒索軟體，但還加入多種施壓手法，旨在即使您有備份復原選項時，仍迫使您付款。

傳統勒索軟體代表單一交易：付款以解密。若維持離線備份，您可能無需付款即可復原。攻擊者意識到這項限制，並演進其手法。現代網路勒索將加密與資料竊取、公開釋出威脅、DDoS 攻擊 在談判期間，以及直接聯繫您的客戶或合作夥伴結合在一起。每增加一種手法，就會移除一個可能的復原選項。即使備份完美無缺，若您拒絕付款，仍將面臨資料曝光。

網路勒索也涉及更長的攻擊時間軸。勒索軟體可在數秒內執行。網路勒索活動在最終加密階段之前，需要數天或數週進行偵察、憑證竊取、橫向移動，以及資料外洩。這段延長的時間軸創造出多個可讓您發現並阻止攻擊的時機，但前提是您的安全架構能在這些階段識別攻擊者行為。

現代網路勒索活動的核心組成揭示了這些手法如何協同運作，以最大化施壓效果。

網路勒索的核心組成

現代網路勒索結合多種同時鎖定您組織的攻擊方法，包括 勒索軟體加密、伴隨公開釋出威脅的資料竊取，以及 DDoS 攻擊。

1. 勒索軟體加密 會鎖住您的正式環境系統與資料儲存庫，直到您支付解密金鑰費用為止。攻擊者會先鎖定您的備份基礎架構：根據 CISA 對勒索軟體活動的分析，攻擊者會特別利用備份軟體中的弱點，例如 Veeam 中的 CVE-2023-27532，而且通常是在修補程式可用很久之後才加以利用。
2. 資料竊取勒索涉及攻擊者 在加密前先將您的敏感資料外洩，然後威脅要公開遭竊資訊或直接聯繫受影響客戶。根據 CISA 與 FBI 關於 Medusa 勒索軟體的聯合公告，這種雙重勒索策略已成為標準做法。
3. 基於 DDoS 的干擾 透過 分散式阻斷服務攻擊 壓垮您的網路基礎架構，同時攻擊者部署勒索軟體並威脅釋出資料。這種三重勒索方法會同時鎖定您的營運、您的資料，以及您的供應鏈合作夥伴。

這些組成會依照可預測的順序協同運作，而辨識勒索活動的警訊可協助您在加密部署前做出回應。

網路勒索企圖的關鍵指標

網路勒索活動會在偵察與準備階段留下痕跡。CISA 關於 Play 勒索軟體的公告記錄指出，攻擊者會使用 AdFind 等工具來列舉網域控制站與特權帳戶。請留意來自通常不執行管理功能之工作站的 AD 查詢突然激增。

在外洩之前，攻擊者會將遭竊檔案集中成壓縮封存檔。監控存取數千個檔案的程序、不尋常的封存檔建立，以及與雲端儲存服務的非預期連線。根據 CISA 的勒索軟體指引，攻擊者會使用 Rclone、Rsync、網頁式檔案儲存服務，以及 FTP/SFTP 進行資料外洩。

攻擊者也會在部署勒索軟體前停用安全工具。針對安全代理程式遭竄改、磁碟區陰影複本刪除，以及備份服務修改發出警示。

這些指標會出現在 FBI 調查所記錄的延長攻擊時間軸中。攻擊者會根據其部署的勒索活動類型，以逐步升級的組態將這些手法結合使用。

網路勒索的類型

網路勒索活動可依攻擊者部署多少種施壓手法分為三類。每一次演進都會增加籌碼，使付款更有可能發生，即使受害者具備強大的備份與復原能力也是如此。

1. 單一勒索 僅依賴勒索軟體加密。攻擊者會加密您的系統，並要求付款以取得解密金鑰。若您維持離線備份，便可在不付款的情況下復原。
2. 雙重勒索 將資料竊取加入 加密。攻擊者會在加密系統之前先外洩敏感資料，接著威脅若您拒絕付款就公開遭竊資訊。即使能透過備份復原，您仍會因資料外洩而面臨監管處罰與聲譽損害。
3. 三重勒索 將 DDoS 攻擊與供應鏈施壓疊加到 雙重勒索 之上。在贖金談判期間，攻擊者會癱瘓您的網路，同時聯絡您的客戶、合作夥伴或投資人以加大壓力。

朝向多層式攻擊活動的演變，反映出攻擊者已了解備份復原會削弱僅依賴加密的攻擊。了解攻擊順序可揭示您能在哪些環節中斷這些攻擊活動。

網路勒索如何運作

網路勒索攻擊遵循多階段的演進流程：初始存取、權限提升、橫向移動、資料外洩，以及加密部署。CISA 與 FBI 的調查顯示，威脅行為者在加密前會花費數天或數週進行偵察，讓您有多次機會發現可疑活動。

• 透過遭利用的弱點取得初始存取：攻擊者會透過您尚未修補的軟體弱點取得進入點。CISA 公告 AA25-163A 記錄了勒索軟體行為者利用未修補的 SimpleHelp Remote Monitoring and Management 軟體。根據 CISA 的網路安全公告 關於 Interlock 勒索軟體的內容，威脅行為者曾透過受入侵的合法網站進行 drive-by download 來取得初始存取。
• 憑證存取與偵察：攻擊者會透過憑證傾印工具竊取管理員憑證。根據 CISA 公告 AA23-278A，惡意行為者經常濫用預設憑證來取得 VPN 存取權，以及備份系統的管理存取權。CISA 關於 Play 勒索軟體的公告記錄了攻擊者在部署加密之前，使用 AdFind 對您的整個網域結構進行對應。
• 橫向移動與資料外洩：攻擊者會使用 PsExec 等工具，透過 Server Message Block (SMB) 通訊進行橫向移動。 CISA 的 StopRansomware 指南 指出，大多數組織未能將 Windows 系統設定為要求以 Kerberos 為基礎的 IPsec 來保護橫向 SMB 通訊。威脅行為者會在部署勒索軟體之前，花費數天或數週外洩您的敏感資料。
• 跨平台加密：FBI 觀察到 Interlock 勒索軟體會為 Windows 與 Linux 作業系統部署加密器。當加密執行時，會同時鎖定您的正式環境、虛擬基礎架構，以及備份系統。

這些攻擊的多階段特性會形成防禦窗口，但要利用這些窗口，必須仰賴能在早期階段發現攻擊者行為的安全平台。

如何偵測網路勒索企圖

找出網路勒索攻擊活動需要監控攻擊者在多個攻擊階段中的行為。僅對惡意軟體執行發出警示的點式解決方案，會錯過加密前數週的活動。

偵察活動

安全平台應將 Active Directory 查詢活動與產生這些查詢的程序建立關聯。請留意：

• AdFind 或類似工具從從未執行管理功能的工作站查詢網域控制站
• 列舉特權帳戶、群組成員資格與信任關係
• 來自內部系統的連接埠掃描或網路對應
• 針對備份基礎架構與儲存系統的查詢

橫向移動指標

追蹤偏離基準行為的驗證模式：

• 服務帳戶存取其從未接觸過的系統
• 管理工具（PsExec、WMI、PowerShell remoting）從非標準目錄執行
• 來自異常來源系統的遠端桌面連線
• Pass-the-hash 或 pass-the-ticket 驗證異常

資料暫存與外洩

將安全工具設定為對 資料彙整 行為發出警示：

• 程序在短時間內存取跨多個目錄的數百個檔案
• 在暫存資料夾或非標準位置建立封存檔（ZIP、RAR、7z）
• 伺服器對雲端儲存空間（Mega、Dropbox、Google Drive）的對外連線
• 在非工作時段或傳送至不熟悉的外部 IP 的大量資料傳輸

• 來自通常不使用這些工具之系統的 Rclone、Rsync 或 FTP/SFTP 活動

防禦規避嘗試

在安全工具遭竄改時立即發出警示：

• 端點防護代理程式已停止或解除安裝
• 磁碟區陰影複製刪除 (vssadmin delete shadows)
• 備份服務修改或排程工作變更
• 以程式方式新增 Windows Defender 排除項目

行為分析之所以重要，是因為攻擊者使用的是合法工具，而非自訂惡意軟體。能將個別指標關聯成統一時間軸的安全平台，讓您看到完整的攻擊路徑，而不是彼此斷裂的事件。

及早發現勒索企圖，能讓您有時間實施因應攻擊鏈各階段的預防措施。

如何防止網路勒索

預防策略必須涵蓋網路勒索攻擊鏈的每個階段。請聚焦於能中斷攻擊者從初始存取到加密整體推進過程的特定控制措施。

阻止初始存取

• 在重大漏洞揭露後 48 小時內修補對外網際網路公開的系統，並優先處理 VPN 設備、防火牆、遠端存取工具和電子郵件閘道
• 在不需要的系統上停用不必要的遠端存取通訊協定 (RDP, SSH)
• 在伺服器上實施應用程式允許清單，以防止未經授權的可執行檔
• 部署可移除危險附件並掃描 URL 的電子郵件過濾機制

消除認證弱點

根據 CISA Advisory AA23-278A，預設認證仍然是最常遭利用的錯誤設定之一。

• 盤點所有系統並確認預設密碼已變更，尤其是備份系統、VPN 閘道和管理入口網站
• 要求在 VPN 存取、管理入口網站、雲端服務和電子郵件上使用 MFA。Change Healthcare breach 利用了一個未啟用 MFA 的單一帳戶，最終影響了 約 1.9 億人。
• 對管理帳戶實施特權存取管理 (PAM)
• 對服務帳戶強制使用 15 個以上字元的密碼

限制橫向移動

• 根據功能和資料敏感度分割您的網路
• CISA 的 StopRansomware Guide 建議將 Windows 系統設定為在橫向 SMB 通訊中要求使用以 Kerberos 為基礎的 IPsec
• 停用 LLMNR、NetBIOS 和 WPAD，以防止認證遭攔截
• 限制本機系統管理員帳戶在各工作站上的使用

保護備份基礎架構

• 維持離線且經加密、與網路連線隔離的備份
• 將備份認證與正式環境的 Active Directory 分開儲存
• 每季測試 勒索軟體復原程序，以驗證還原能力
• 實施不可變備份儲存，以防止刪除或修改

即使有強大的預防措施，事件仍可能發生。是否具備清楚的回應計畫，將決定您是能快速控制攻擊，還是面臨長時間的營運中斷。

網路勒索的事件回應步驟

當您發現網路勒索攻擊時，最初幾小時內的回應將決定攻擊者是否達成其目標。請依據以下內容採取這些步驟 CISA 的勒索軟體檢查清單：

1. 立即隔離受影響的系統。 將遭入侵的系統從網路中斷開，但保持開機。網路隔離可防止橫向移動和進一步加密。讓系統保持開機可保留包含鑑識成品的揮發性記憶體。
2. 啟動您的回應團隊。 同時聯絡您的 IT 部門、受管安全服務供應商、網路保險公司和各部門主管。在調度資源前，不要等到調查完成。
3. 判定入侵範圍。 確認哪些系統已遭加密、哪些帳戶已遭入侵，以及資料是否已被外洩。評估對外網路流量中是否有大量資料傳輸至雲端儲存服務。
4. 保留鑑識證據。在修復前為受影響系統建立映像，以支援執法調查和保險理賠。記錄攻擊時間軸、贖金要求，以及任何攻擊者通訊。
5. 啟用聯邦資源。 根據 CISA StopRansomware 指南，聯邦資產回應包括技術協助、識別其他面臨風險的實體，以及提供復原資源指引。請向 FBI 的 IC3 和 CISA 通報事件。
6. 執行復原程序。 在確認備份完整性後，從已知乾淨的備份還原系統。重新建置遭入侵的系統，而非僅僅移除惡意軟體。變更所有可能已外洩的認證資料。

即使具備有效的事件回應能力，組織在防禦網路勒索活動時仍面臨持續性的挑戰。

防禦網路勒索的挑戰與限制

傳統安全架構難以應對網路勒索帶來的結構性挑戰。組織一再未能將安全修補程式套用至關鍵基礎設施，尤其是備份與復原系統。攻擊者會在加密正式環境資料之前，特別鎖定備份系統，藉此消除復原選項。

CISA 關於 Play 勒索軟體的公告記錄了對 Active Directory 錯誤設定的系統性利用。攻擊者使用 AdFind 進行偵察、使用 PsExec 進行橫向移動，以及使用 Cobalt Strike 進行持續性的命令與控制通訊。您的安全系統在延長的攻擊序列期間也面臨威脅發現挑戰，因為 Play 勒索軟體操作者會針對每次攻擊重新編譯惡意軟體，以增加識別難度。

要解決這些挑戰，必須避免那些讓勒索活動得以成功的常見錯誤。

常見的網路勒索錯誤

• 延遲採取遏制行動：您發現可疑活動，但在調查期間延後實施隔離措施，讓勒索軟體得以橫向擴散。 CISA 的勒索軟體檢查清單 強調，您必須立即隔離受影響系統，同時保持其開機狀態以保留鑑識證據。
• 未監控資料外洩：您的安全工具會對惡意軟體執行發出警示，卻錯過先前數週的資料外洩活動。根據 CISA 的勒索軟體回應指引，您必須監控 Rclone、Rsync、網頁式檔案儲存服務，以及 FTP/SFTP。進階安全平台可依據其行為發現外洩工具：程序存取數千個檔案、壓縮資料，並對雲端儲存發起對外連線。
• 在關鍵系統上使用預設認證資料：根據 CISA 公告 AA23-278A，預設認證資料仍是最常遭利用的錯誤設定之一，尤其是在備份系統、VPN 閘道與管理入口網站上。

這些錯誤是可以預防的。政府機關提供了可直接對應攻擊者所利用各項弱點的具體指引。

網路勒索最佳實務

政府機關針對網路勒索預防與回應提供了具體指引：

• 全面實施多重要素驗證。 聯合發布的 CISA/FBI/NSA StopRansomware 指南 要求所有服務都必須採用 MFA，尤其是 Webmail、VPN 與關鍵系統存取。
• 為 SMB 通訊設定 Kerberos-IPsec。 CISA 的 StopRansomware 指南 建議對橫向 SMB 通訊要求使用以 Kerberos 為基礎的 IPsec，以防止攻擊者存取 Active Directory 網域外的系統。
• 維護離線加密備份。 聯合發布的 CISA/FBI/NSA 指引 明確指出，備份必須與網路連線隔離並加密。
• 監控資料外洩工具。 根據 CISA 的勒索軟體指引，監控 Rclone、Rsync、網頁式檔案儲存服務，以及 FTP/SFTP。
• 發現未受管理的裝置。 使用持續性資產探索來找出未受管理的裝置與影子 IT，這些項目可能藏有預設認證資料。
• 主動啟用聯邦資源。 聯邦資產回應包括技術協助、識別其他面臨風險的實體，以及提供復原資源指引。

遵循這些實務可強化您的基準防禦。近期事件顯示，當組織未能落實這些措施時會發生什麼情況。

網路勒索事件的真實案例

近期的網路勒索活動顯示，攻擊者如何結合多種戰術，以最大化對受害者施加的壓力。

1. Change Healthcare（2024 年 2 月）：BlackCat (ALPHV) 組織透過利用一個未啟用 MFA 的單一帳號入侵 Change Healthcare。攻擊者竊取了敏感資料，並部署勒索軟體，導致全國性的電子付款與醫療理賠處理中斷。根據 HHS Office for Civil Rights breach portal，此次外洩事件影響約 1.9 億人，成為美國史上規模最大的醫療資料外洩事件。此事件顯示，單一憑證弱點如何連鎖引發全國性的營運中斷。
2. Synnovis-NHS（2024 年 6 月）：Qilin 勒索軟體集團攻擊了 NHS 病理服務供應商 Synnovis，迫使倫敦多家醫院延後超過一千項選擇性手術與數千次門診預約。輸血、檢驗結果與癌症治療皆遭延誤。攻擊者竊取敏感資料並要求付款，且在談判失敗後公布遭竊紀錄。此次攻擊顯示，第三方遭入侵會如何直接影響關鍵醫療服務提供。
3. Snowflake 客戶外洩事件（2024 年 5 月）：駭客利用遭入侵的憑證存取 Snowflake 雲端資料平台，影響超過 100 家客戶，其中包括大型企業。攻擊者大量竊取客戶資料，並採用勒索手法，向受影響公司索取贖金以防止資料外洩。此事件凸顯出當攻擊者鎖定共用基礎架構供應商時所帶來的供應鏈風險。
4. Blue Yonder（2024 年 11 月）：Termite 勒索軟體組織鎖定主要供應鏈軟體供應商 Blue Yonder，導致數千家企業客戶的服務中斷。Termite 採用雙重勒索手法，在加密系統的同時威脅洩露遭竊資料。此次攻擊顯示，供應鏈入侵會如何同時擴大對多個組織的影響。

這些事件具有共同要素：加密前攻擊者長時間潛伏、利用憑證弱點或未修補漏洞，以及多層次施壓戰術。具備可發現偵察活動並關聯攻擊指標之安全平台的組織，能在這些活動進入加密階段前加以阻止。

使用 SentinelOne 防禦網路勒索

勒索申訴激增 134% 證實威脅行為者已轉向多階段攻擊活動。延長的攻擊鏈意味著，在勒索要求出現之前，您有多個機會可阻止攻擊。SentinelOne 的 Singularity Platform 針對攻擊各階段提供相應能力，旨在於加密開始前中斷勒索鏈。

Singularity XDR 會透過關聯針對網域控制站的 AdFind 查詢、啟動列舉工具的父程序，以及接收結果的外部 IP 位址，找出偵察模式。Purple AI 可接受自然語言查詢，例如「show me all systems this compromised account accessed in the past 72 hours.」，以加速調查。 Purple AI 可將調查時間最多縮短 80%，讓您的團隊能在加密部署前阻止資料外洩。

Storyline 透過將程序執行、檔案修改與網路連線關聯為統一時間軸，重建完整攻擊鏈。在 MITRE ATT&CK 評估中，Singularity Platform 產生了 少 88% 的警示，相較競爭對手僅有 12 則警示，而其他平台則高達 178,000 則。

Ranger 提供持續性的資產探索，以找出可能藏有預設憑證的未受管理裝置與影子 IT。根據 CISA Advisory AA23-278A，惡意行為者經常濫用 VPN 閘道與管理入口網站上的預設憑證。

安排 SentinelOne 示範，在您的環境中體驗這些功能。

重點整理

網路勒索已從單純的勒索軟體演變為結合資料竊取、DDoS 攻擊與供應鏈鎖定的多階段活動。FBI 記錄顯示，2024 年勒索申訴激增 134%，且攻擊者在部署加密前會於網路中潛伏數天或數週。這段延長的時間軸創造出多個防禦窗口，讓您可在偵察、憑證竊取或資料外洩期間阻止攻擊。

防禦這些活動需要將重點從在加密時發現惡意軟體，轉移到提早數天發現攻擊者行為。Singularity XDR 會關聯偵察模式，Purple AI 以自然語言查詢加速調查，Storyline 重建完整攻擊鏈，而 Ranger 則在攻擊者利用之前發現未受管理資產。