許多企業到現在還是很害怕遭到勒索軟體攻擊，但這類威脅真的還跟以前一樣嗎？
幾年前，勒索軟體攻擊最猖獗的時候，只要提到「勒索軟體」，大家幾乎都會直接聯想到「資料遭到惡意加密」。不過實際上，對駭客來說，讓企業無法存取資料，早就不再是勒索攻擊中最重要的手段，反而逐漸變成一種象徵性的威脅方式。
今年 5 月，卡巴斯基專家在 Securelist 發表的研究文章 中指出，勒索攻擊的手法正在改變。到了 2026 年，駭客透過加密企業資料來索取贖金的情況，已經越來越少。
其中有個很值得注意的案例。
卡巴斯基全球緊急應變團隊（Global Emergency Response Team，簡稱 GERT）在調查一起資安事件時，發現了一場名為 PAYLOAD 的勒索攻擊行動。
特別的是，這群駭客根本沒有使用勒索軟體，而是改用另一種方式來威脅企業。
在這次攻擊中，駭客先取得企業 Active Directory（AD，活動目錄）環境的控制權，接著建立惡意的群組原則物件（Group Policy Object，GPO）。
透過這項設定，駭客可以在企業內部的電腦上執行多種惡意操作，包括顯示勒索訊息、修改桌面背景、鎖定電腦畫面，以及在系統登入時顯示警告橫幅。
不只如此，駭客還順手停用了電腦上的本機系統管理員帳號，讓企業更難重新取得設備的控制權。
透過這些手法，駭客不需要加密任何資料，就能清楚向企業證明：「我們已經入侵你們的系統，而且取得了你們的機密資料。」
這樣的威脅效果，其實跟加密資料一樣具有壓迫性。
如果想進一步了解這起攻擊事件的詳細過程，以及相關入侵指標（IoC），可以參考 Securelist 的完整分析報告。
不過，這篇文章真正想探討的重點，是為什麼駭客開始逐漸放棄資料加密這種攻擊方式。
為什麼資料加密不再是駭客的首選？
首先，對大型企業來說，如果有數千台電腦同時遭到感染，要逐一解密並恢復所有資料，其實是一件非常耗時又費力的事情。
而且，過去幾年因為勒索軟體攻擊頻繁發生，越來越多企業已經養成定期備份資料的習慣。
比起支付贖金後，苦苦等待駭客提供解密金鑰，企業通常更願意直接透過備份來還原資料。
畢竟，就算真的付了錢，也不代表一定能順利拿回資料。
企業還得擔心駭客提供的解密金鑰到底是不是真的，甚至可能因為勒索軟體本身存在程式錯誤，導致資料即使拿到金鑰也無法完整恢復。
因此，隨著企業備份與復原能力逐漸提升，駭客想單純靠「加密資料」來收取贖金，也變得越來越困難。
為了因應這樣的變化，駭客開始調整勒索策略。
除了加密資料之外，他們也越來越常先竊取企業的機密資訊，再威脅企業：
「如果不付錢，就把你們的資料全部公開！」
這種手法帶來的影響，可能比單純無法存取資料還要嚴重。
一旦企業機密資料遭到公開，不只會損害企業聲譽，也可能影響資訊安全，甚至連合作夥伴都會受到牽連。
尤其當外洩資料包含客戶或員工的個人資訊時，後果可能更加嚴重。
目前全球已有 超過 140 個國家制定個人資料保護相關法律。一旦發生資料外洩事件，企業除了面臨商譽損失，還可能因為違反個資保護規定而遭到高額罰款。
對某些企業來說，這種後果甚至比資料全部遺失還要可怕。
更重要的是，資料被偷走之後，就算企業有完整備份，也無法阻止駭客將資料公開。
從駭客的角度來看，竊取資料還有另一項優勢，就是比傳統勒索軟體攻擊更不容易被發現。
舉例來說，當勒索軟體開始大量加密檔案時，通常會造成硬碟讀寫活動突然暴增，因此端點防護工具往往能夠快速察覺異常。
但如果駭客只是偷偷將資料傳送出去，這些流量就比較容易偽裝成一般正常的網路活動。
知名駭客組織 ShinyHunters 就是利用這個特性，透過標準的 OAuth 授權機制來發動資料竊取攻擊。
除此之外，如果駭客省略加密資料的步驟，就能更快完成資料竊取，也讓企業更難在第一時間發現並阻止攻擊。
換句話說，對現在的駭客來說，資料加密逐漸變成一種「證明自己入侵成功」的手段。
既然不加密資料也能達到相同的勒索效果，駭客乾脆連這個步驟都省略了。
面對新型態勒索攻擊，企業該如何防範？
無論駭客有沒有使用勒索軟體，企業都應該建立良好的資安防護習慣，才能有效降低各種勒索攻擊帶來的風險。
以下是幾項建議：
1. 定期自動備份重要資料
企業應該建立定期、自動化的資料備份機制，並且盡可能同時使用實體儲存設備與雲端備份。
透過不同類型的備份方式，可以降低單一備份來源失效的風險。
萬一真的發生勒索攻擊，企業至少還能透過備份來恢復系統與資料，避免營運長時間中斷。
畢竟，比起所有資料永久遺失，花一些時間從備份還原，造成的損失通常還是小得多。
不過也要注意，備份主要是協助恢復資料，無法解決已經遭到竊取的機密資訊外洩問題。
2. 及時安裝系統更新與安全修補程式
系統漏洞一直都是駭客入侵企業的重要管道之一。
因此，企業應該盡可能建立自動化更新管理機制，確保作業系統、應用程式及驅動程式，都能及時安裝最新的安全更新。
此外，也要定期進行漏洞掃描，確認企業內部系統是否存在安全弱點。
發現漏洞後，應該依照風險程度安排修補順序，尤其是高風險及重大漏洞，更應優先處理。
企業也可以透過專業的漏洞管理解決方案，提升漏洞管理與修補效率。
3. 強化端點設備的安全防護
企業應該針對內部系統全面導入多因素驗證（MFA），降低帳號密碼遭竊後被駭客利用的風險。
同時，也要在員工電腦與伺服器上部署可靠的資安防護解決方案。
此外，企業可以導入以下工具，進一步提升資安事件的監控與應變能力：
- SIEM（安全資訊與事件管理系統）： 協助企業集中蒐集、分析不同系統的安全事件與紀錄，讓資安人員更容易掌握整體環境的異常狀況。
- EDR（端點偵測與回應）： 持續監控電腦與伺服器上的可疑行為，協助資安人員快速調查並處理潛在威脅。
透過 SIEM 或 EDR 解決方案，資安團隊就能更全面地掌握企業內部的安全狀況，並在發生資安事件時迅速採取行動。
4. 定期檢查對外開放的系統與服務
企業應該定期檢查所有可能從網際網路存取的系統與服務。
例如伺服器、資料庫、雲端環境，以及過去建立但現在可能已經很少使用的子網域。
特別要注意是否有不必要的連接埠或服務暴露在網際網路上。
因為這些沒有妥善管理的對外服務，都可能成為駭客入侵企業的突破口。
5. 落實最小權限原則
企業應該遵循最小權限原則（Principle of Least Privilege）。
簡單來說，就是員工、系統或程式只需要擁有完成工作所必需的權限，不應該給予額外的存取權限。
例如，一般員工如果不需要系統管理員權限，就不應該開放這類權限。
另外，對於已經不再使用的帳號權限，應該定期清除；離職員工的系統存取權限，也必須確實停用。
這樣才能降低帳號遭到盜用後，駭客進一步入侵其他系統的風險。
6. 加強員工資安教育訓練
即使企業部署了完善的資安防護工具，員工仍然可能成為駭客入侵的突破口。
因為駭客至今仍經常利用人性的弱點，例如假冒主管、寄送釣魚郵件，或誘騙員工點擊惡意連結等方式，取得企業內部系統的存取權限。
因此，企業應該持續安排資安教育訓練，讓員工了解常見的網路威脅，以及如何辨識可疑郵件與詐騙手法。
透過提升員工的資安意識，就能降低因人為疏失而遭到釣魚攻擊的機率。
總結：勒索攻擊不再只是把資料鎖起來
過去，企業最擔心的勒索攻擊，是駭客把重要資料加密，讓公司無法正常運作。
但現在，駭客的攻擊策略正在改變。
比起花時間加密資料，直接竊取企業機密，再威脅公開，可能更容易讓企業願意支付贖金。
這也代表，企業不能再認為只要做好資料備份，就能完全防範勒索攻擊。
除了建立備份機制之外，更重要的是強化端點防護、落實帳號權限管理、持續監控異常活動，以及提升員工的資安意識。
因為現在企業真正要防範的，不只是資料被鎖住，而是資料早就被駭客偷走，自己卻還不知道。
資料來源: Ransomware groups shift tactics: data theft instead of encryption