備份不是「有做」就好：有備份卻還是付贖金，問題出在哪

為什麼「有備份」還是被勒索

勒索軟體進來之後，第一件事不是加密你的檔案，是先找你的備份。接在同一台主機上的外接硬碟、同一個網路裡的 NAS、桌面上的「備份」資料夾——這些它都找得到，而且會一起加密。

等你發現要還原的時候，備份檔已經跟主機一起變成亂碼。這就是「有備份卻還是付贖金」的典型劇情。

三個問題檢查你的備份

1. 它跟主機分開了嗎？

資安圈講的 3-2-1 原則：三份資料、兩種媒介、一份放在別的地方。白話版：主機一份、公司裡另一台設備一份、公司外面（雲端或另一個地點）一份。關鍵是最後那一份——它不能從主機直接存取得到。

2. 你上次「還原」是什麼時候？

沒試過還原的備份，等於不知道能不能用。常見的狀況：備份檔是壞的、少了某個重要資料夾、還原要花三天但你以為三小時。每季挑一天，真的把備份還原到另一台機器上開起來看。

3. 備份停了，誰會知道？

備份排程會因為硬碟滿了、密碼過期、有人重灌電腦而默默停掉，一停就是半年。至少要有一個人每個月看一次「最後一次成功備份」的日期；再好一點，讓系統在失敗時主動通知。

被勒索了怎麼辦

先不要付錢，先不要重灌。把中毒的機器從網路拔掉，保留現場，找人評估備份能救回多少。付贖金不保證拿回資料，而且會讓你變成「願意付錢的名單」上的一員。

寫在最後

備份是少數「做對了就不會上新聞」的事。我們幫客戶部署系統時，備份和還原演練是驗收的一部分，不是選配——因為系統再好用，資料不見就什麼都不是。