收銀機畫面突然變成勒索字句：香港商戶中勒索軟件頭一小時應變指南
一、結論先行：頭一小時四個決定，錯一步可以成盤生意停埋
收銀機畫面突然變成勒索字句，嗰一刻商戶要做的唔係即刻諗「點樣快啲開返機做生意」，而係先做四個決定：第一，即刻斷網隔離，唔好畀勒索軟件繼續擴散去其他電腦；第二，影低勒索畫面、記低事件日期同時間，留低證據；第三，唔畀贖金，唔同攻擊者傾，唔用網上未經認證的解密軟件；第四，按次序報案求助——緊急事故打 999，警方防騙易熱線 18222，HKCERT 24 小時熱線 8105 6060。四個決定做啱，損失可以收窄；做錯一步，例如急住重裝系統、即刻畀贖金、用受感染電腦繼續收款，可以令證據同乾淨備份一齊報銷。
點解頭一小時咁關鍵？因為勒索軟件唔係只鎖一部機咁簡單。POS 電腦、會員資料、交易紀錄一旦被加密，商戶即時做唔到生意；如果受感染電腦仲連住網絡，勒索軟件有機會擴散去同一網絡的其他電腦，甚至加密埋備份。頭一小時的每一個動作，都係喺「止血」同「留證據」之間取平衡——止血要快，留證據要齊，兩樣缺一不可。
以下各節會按時間線拆解：點樣認出中招訊號；頭 10 分鐘要做咩、唔做咩；頭 30 分鐘點樣轉用備用收款安排；點解唔可以畀贖金；報案求助的次序同聯絡方法；會員資料可能外洩要點樣按私隱專員公署指引評估同通報；還原要點樣先至安全；最後係收銀枱落地清單。每一項都只講已經核實的事實，唔確定的地方會直接講明向警方、HKCERT 或者專業人士查詢，唔會幫商戶估。
二、認出中招訊號：檔案副檔名突變、勒索字句彈出、POS 讀唔到資料庫
中勒索軟件唔係無聲無息，好多時收銀枱會即刻見到訊號。最明顯的三種情況係：第一，檔案副檔名突然變晒，文件開唔到；第二，畫面彈出勒索字句，話檔案已經加密，要畀贖金先至攞得返；第三，POS 讀唔到資料庫，交易紀錄、會員資料、價目表全部唔見。任何一種出現，商戶都應該即刻當成勒索軟件事故處理，唔好當成普通死機或者軟件故障，撳多幾次、重開幾次先至算。
員工第一時間要做的一件事好簡單：唔好慌，唔好亂撳。見到勒索字句彈出，唔好撳入面的連結或者按鈕，唔好跟住畫面指示去付款或者下載任何嘢；見到檔案開唔到，唔好即刻重裝系統或者刪除檔案，因為重裝同刪除都可以破壞證據，甚至破壞埋未受感染的備份。員工要識得即刻通知負責人，話清楚邊部機出事、幾點發現、畫面寫咩，負責人先至可以按次序處理。
商戶亦要留意，唔係所有勒索軟件都會即刻彈出勒索字句。有啲情況係 POS 運作突然變慢、檔案無故改名、備份檔案打唔開，呢啲都可能係早期訊號。收銀枱日常要養成一個習慣：每日開機留意 POS 資料庫讀唔讀到、價目表同會員資料齊唔齊，發現唔對路就即刻停手檢查，唔好等到客人排緊隊先至發現成個系統已經鎖死。
三、頭 10 分鐘：斷網隔離，但唔好關機
發現中招之後頭 10 分鐘，第一件要做的事係斷網隔離。HKCERT「齊抗勒索軟件」專頁的處理方法第一項就係：切斷受感染電腦的所有連接。具體做法包括拔走網絡線、關閉 Wi-Fi、停止雲端同步、拔走外置硬碟同其他外置儲存裝置。目的只有一個：唔好畀勒索軟件經網絡擴散去其他電腦，亦唔好畀佢繼續加密雲端同步檔案同外置備份。拔線呢個動作本身好簡單，但係要快——拖多幾分鐘，擴散範圍就可以大好多。
同一時間，有一件好反直覺的事要記住：唔好關機。受感染電腦的記憶體入面可能留有證據，關機之後記憶體資料就會消失，之後警方或者 HKCERT 要調查嗰陣，就少咗一啲重要線索。正確做法係斷網之後保持電腦開住，唔好再喺上面做任何嘢，唔好開檔案、唔好上網、唔好登入任何帳戶，等負責人或者專業人士指示下一步。
頭 10 分鐘仲要做一件事：影低勒索畫面。HKCERT 曾提醒保留畫面截圖、事件日期及時間等證據。商戶應該用另一部未受感染的手機或者相機，影低勒索字句的完整畫面，連同發現時間、受影響的電腦編號、當時邊個員工喺收銀枱，一齊記低。呢啲資料之後報案、聯絡 HKCERT、評估會員資料有無外洩嗰陣全部用得着，事後先至諗返起身就好難補返。
四、頭 30 分鐘：停用受感染收銀機，轉用備用收款安排
斷網隔離之後，頭 30 分鐘的重點係將生意同受感染電腦分開。第一步係停用受感染的收銀機，唔好再用佢嚟收款、查會員資料或者開單。POS 電腦一旦被加密，入面的交易紀錄同會員資料已經唔可靠，繼續用佢嚟做生意，只會令帳目更加混亂，亦可能將勒索軟件經其他途徑擴散出去。
第二步係轉用備用收款安排。商戶平日就應該諗定，如果主收銀機用唔到，仲有咩方法可以繼續做生意——例如用另一部未受感染的電腦或者手寫單據暫時記錄交易，收款經八達通機、KPay、YedPay 等獨立渠道處理，之後再將交易補記返入 POS 紀錄。呢個安排唔係臨時諗出嚟就得，平日要同員工講清楚，邊個負責轉換、邊個負責記錄、邊個負責之後補記，否則出事嗰陣人人企喺度等，客人排隊都走晒。
第三步係一個絕對唔可以犯的錯：唔好喺受感染電腦上面登入銀行帳戶或者改密碼。受感染電腦上面輸入的帳戶資料同密碼，有機會畀攻擊者攞走；喺呢部機上面改密碼，等於將新密碼直接交畀對方。如果真係要處理銀行或者重要帳戶，一定要用另一部確認未受感染的電腦或者手機，而且要先向銀行查詢，唔好自己估住做。
五、唔畀贖金、唔同攻擊者傾、唔用未經認證的解密軟件
勒索字句通常會話，畀咗贖金就可以攞返檔案。HKCERT 的建議好明確：唔好支付贖金。原因唔係單純一句「唔好畀錢」咁簡單，而係畀咗贖金亦無保證攞得返檔案——本文唔會寫任何「畀咗贖金就攞得返檔案」的保證，因為無來源支持呢個講法；相反，畀贖金只會令攻擊者知道呢間商戶願意畀錢，下次再嚟的機會更高。商戶要記住，贖金唔係解決方法，而係將問題拖長。
同樣道理，唔好同攻擊者傾。攻擊者開出的任何「傾價」或者「限時優惠」，都係施壓手段，商戶唔應該直接回覆勒索字句上面留低的聯絡方法。正確做法係將勒索字句的內容影低留證據，然後交畀警方或者 HKCERT，由專業人士決定點樣處理。商戶自己同攻擊者傾，講錯一句說話都可能令情況更加複雜。
第三樣唔可以做的，係唔好用網上未經認證的解密軟件。HKCERT 同樣提醒，唔好使用網上未經認證的解密軟件——來歷不明的解密工具本身可能帶有惡意程式，用咗隨時令情況更差。免費解密工具方面，商戶可到 No More Ransom 官方網站查詢有無對應工具，睇下自己中招的勒索軟件有無已知的免費解密方法；但係本文唔會寫任何保證解密的說法，有無工具、啱唔啱用，要以 No More Ransom 官方網站的最新資料為準。
頭一小時應變次序對照
| 時間 | 要做的事 | 唔可以做的事 |
|---|---|---|
| 頭 10 分鐘 | 斷網隔離：拔網絡線、關 Wi-Fi、停雲端同步、拔外置硬碟；影低勒索畫面，記低事件日期及時間 | 唔好關機（記憶體可能留有證據）；唔好喺受感染電腦開檔案或登入帳戶 |
| 頭 30 分鐘 | 停用受感染收銀機，轉用備用收款安排；收款經獨立渠道處理 | 唔好用受感染電腦繼續收款；唔好喺受感染電腦登入銀行或改密碼 |
| 頭一小時內 | 報案求助：緊急打 999；警方防騙易 18222；HKCERT 8105 6060 | 唔畀贖金；唔同攻擊者傾；唔用網上未經認證的解密軟件 |
六、報案求助次序：999、警方防騙易 18222、HKCERT 8105 6060
隔離同留證據做完之後，頭一小時內就要報案求助。次序係咁：遇到緊急事故，致電 999；想查詢或者求助，可以打警方防騙易 24 小時諮詢熱線 18222；電腦保安事故方面，可以聯絡 HKCERT，24 小時熱線 8105 6060，電郵 hkcert@hkcert.org，HKCERT 亦設有網上事故報告表格。HKCERT 的工作係處理電腦保安事故報告、統籌回應及復修支援，商戶聯絡 HKCERT 嗰陣，應該準備好之前影低的勒索畫面、事件日期及時間、受影響電腦同資料的範圍，等對方可以盡快評估。
報案嗰陣，商戶要講清楚幾樣嘢：幾點發現、邊部電腦出事、勒索字句寫咩、有無畀過贖金、有無用過任何解密軟件、會員資料同交易紀錄有無可能受影響。講得愈清楚，警方同 HKCERT 愈快可以判斷下一步；講得含糊，來來回回問多幾次，頭一小時的黃金時間就咁樣嘥咗。負責人最好親自打呢啲電話，唔好叫一個唔清楚情況的員工代打。
商戶亦要知道，勒索軟件唔單止係「電腦壞咗」咁簡單，背後涉及刑事罪行。《刑事罪行條例》（第 200 章）第 161 條「有犯罪或不誠實意圖而取用電腦」，經公訴程序定罪最高監禁 5 年。商戶唔需要自己去判斷攻擊者觸犯邊條法例，呢個係警方的工作；但係商戶要明白，報案唔係「多此一舉」，而係將一宗刑事罪行交畀應該處理的部門，同時為之後的保險索償、資料外洩評估留低正式紀錄。
七、會員資料可能外洩：按私隱專員公署指引五步評估，盡快通報
勒索軟件鎖死檔案，唔代表資料一定已經外洩；但係商戶唔可以假設「鎖死即係無外洩」，因為有啲攻擊者會先偷走資料，再加密檔案。POS 入面的會員資料、交易紀錄一旦可能外洩，商戶就要按私隱專員公署的指引處理。私隱專員公署於 2023 年 6 月發出更新版《個人資料外洩事故處理及通報指引》，建議五步：即時收集重要資料、控制外洩、評估傷害風險、考慮發出外洩事故通知、記錄事故。五步唔係任揀其中一步，而係按次序做晒。
通報方面，商戶要記住一個重點：現行《個人資料（私隱）條例》（第 486 章）下並無強制通報責任，但係指引建議在知悉事故後盡快通知受影響人士及私隱專員，毋須等待內部調查完成。換句話講，唔好等到查清楚晒先至通知——等得愈耐，受影響的會員愈遲可以採取自保措施。強制通報機制仍在研究階段，最新安排要以私隱專員公署的最新公布為準；以上指引內容來自律師行對指引的整理，商戶如需確認細節，應以私隱專員公署原文為準。
實際操作上，商戶要先評估邊啲資料可能受影響：會員姓名、電話、交易紀錄、儲值額紀錄，邊啲喺受感染電腦入面，邊啲有獨立備份。評估完之後，按風險高低決定通知範圍同通知方式，通知內容要講清楚發生咩事、邊啲資料可能受影響、商戶已經做咗咩、受影響人士可以點樣自保。通知唔係認錯，而係畀受影響人士一個機會去保護自己；拖住唔講，只會令信任損失更大。
八、還原同收銀枱收尾：只用確認未受感染的備份，之後重新對數
報案同通報做完，之後先至係還原。HKCERT 專頁講明，如在感染前已備份，可進行系統復原——關鍵係「感染前」同「確認未受感染」。商戶只可以用確認未受感染的備份嚟還原，唔好用任何未經檢查的備份，因為備份本身都有機會已經畀勒索軟件加密或者感染咗。如果無乾淨備份，或者唔肯定備份乾唔乾淨，就要考慮重建系統，由專業人士協助處理，唔好自己估住還原。還原之後，要按 GovCERT.hk《資訊安全事故處理實務指南》做事後檢討，搵出今次點解會中招，邊個環節要補返，唔好還原完就當無事發生。
還原之後，收銀枱仲有幾件事要做。第一，重新核對 POS 日結同銀行入數：受感染期間用備用安排處理的交易，要逐筆補記返入 POS 紀錄，確保 POS 日結同各個收款渠道的入數對得返；對唔返的，要即刻查，唔好拖到月底先至發現。第二，檢查收銀鏡頭片段有無受影響，片段係覆核交易的重要紀錄，要確認佢哋仍然齊全。第三，提醒員工：POS 只做付款方式記錄／分類對數，收款經八達通機、KPay、YedPay 等獨立渠道處理；POS 唔係保安軟件，唔可以直接擋勒索軟件，日常保安要靠斷網隔離、備份、報案呢啲實務步驟，唔係靠一部收銀機。
落地清單總結：認出訊號即刻當事故處理；頭 10 分鐘斷網隔離、留低證據、唔好關機；頭 30 分鐘停用受感染收銀機、轉備用收款安排；唔畀贖金、唔傾、唔用未經認證的解密軟件；頭一小時內報案求助（999、18222、HKCERT 8105 6060）；會員資料可能外洩就按私隱專員公署指引五步評估，盡快通知受影響人士及私隱專員；還原只用確認未受感染的備份，之後重新核對 POS 日結同銀行入數。POSKing「POS系統＋收銀鏡頭套裝」HK$4,950一次性買斷免月費，套裝只做付款方式記錄同分類對數，收款經八達通機、KPay、YedPay等獨立渠道處理；想了解買斷制POS點樣幫你做好日常對數，可以致電或WhatsApp ＋852 2186 8010，或者親臨新界沙田石門安麗街18號達利廣場1209室，營業時間每日12:00–19:00。本文為一般資訊，唔係法律意見；法例內容以法例原文及政府最新公布為準，個別情況請向專業人士查詢。
收銀機畫面變成勒索字句，頭一小時四個決定：斷網隔離、影低畫面留證據、唔畀贖金、按次序報案求助。HKCERT「齊抗勒索軟件」專頁提醒切斷受感染電腦所有連接、唔好支付贖金、唔好使用網上未經認證的解密軟件；感染前有備份可進行系統復原。頭10分鐘斷網隔離但唔好關機，記憶體可能留有證據；頭30分鐘停用受感染收銀機，轉用備用收款安排，唔好喺受感染電腦登入銀行或改密碼。免費解密工具可到No More Ransom官方網站查詢。報案求助：緊急999、警方防騙易18222、HKCERT 24小時熱線8105 6060／電郵hkcert@hkcert.org。會員資料可能外洩，按私隱專員公署2023年6月更新版指引五步評估，現行第486章下無強制通報責任，但建議知悉後盡快通知受影響人士及私隱專員。《刑事罪行條例》第200章第161條經公訴程序定罪最高監禁5年。還原只用確認未受感染的備份，之後重新核對POS日結同銀行入數；POS只做付款方式記錄／分類對數，唔係保安軟件。
