星期一早上，熟客傳 LINE 來：「你們網站點進去怎麼跳到奇怪的博弈頁面？」老闆自己打開看，一切正常。再用手機從 Google 搜尋結果點進去，果然被帶走了。這是我們最常遇到的被駭情境，網站主往往是最後一個知道的人，因為駭客刻意讓管理者看不出異狀。接下來的幾個小時怎麼處理，決定了損失會停在「麻煩」還是擴大成「重做」。這篇分成兩半：前半講已經出事了怎麼辦，後半講怎麼讓它不要再發生。
重點摘要
- 網站被駭後要先保留現場與改掉所有密碼，再找出入侵點，最後才還原，順序不能顛倒。
- 只把被竄改的頁面改回來沒有用，後門還在，通常幾天內會再被入侵一次。
- SSL 憑證只保護資料傳輸過程不被偷看，擋不住針對網站程式漏洞的攻擊。
- 中小企業網站最值得先做的四件事是：定期更新、異地備份、強密碼加雙重驗證、移除不用的外掛與帳號。
怎麼知道網站是不是被駭了？
多數時候不會有明顯的畫面，要靠幾個間接的徵兆判斷。在 Google 搜尋自己的公司名稱，結果裡出現日文、亂碼或賣藥的標題；從搜尋結果點進網站會被轉到別的地方，直接打網址卻正常；Search Console 寄信通知「偵測到安全性問題」；主機商來信說你的空間在發送垃圾信；後台多了你不認識的管理員帳號。出現任何一項都該當成被入侵處理。
首頁被整個換掉的那種反而是少數。現在的入侵大多是為了利用你的網站，藏惡意連結、借你的主機發信、偷偷把訪客導走，所以會盡量不讓你發現。Google 在 web.dev 上有一系列針對網站主的 被駭網站處理指南，裡面列出常見的入侵類型與辨識方式，建議先存起來。
發現被駭後的第一個小時該做什麼？
先止血、留證據、換鑰匙，還不要急著修。很多人第一個反應是趕快把怪東西刪掉，結果把查出入侵點的線索一起刪了。請照這個順序做：
被駭後的處理步驟
- 把網站切到維護頁面或暫時下線，避免訪客繼續受害。
- 把目前被入侵狀態的檔案與資料庫完整備份一份，連同主機的存取紀錄，留作調查用。
- 更換所有相關密碼：網站後台、主機管理、FTP、資料庫，以及管理者使用的信箱。
- 檢查後台使用者清單，刪掉不認識的帳號。
- 通知主機商與維護廠商，請對方協助查存取紀錄，找出是從哪裡進來的。
- 找到入侵點並修補之後，用被駭之前的乾淨備份還原，再把系統與外掛全部更新到最新版。
- 若網站被 Google 標示警告，確認清理完成後到 Search Console 的安全性問題報告申請審查。
第六步的前提是你有乾淨的備份。如果沒有，就只能請工程師一個檔案一個檔案比對清理，費時而且很難保證清乾淨，有時候重建反而比較快。備份的價值就在這一刻。
為什麼把被改的頁面改回來，過幾天又被駭？
因為入侵者進來的第一件事就是留後門。這是我們看過最多次的錯誤處理方式：發現首頁多了一段怪連結，請人把那段刪掉，網站恢復正常，大家鬆一口氣。但漏洞沒補、後門沒清，同一個人或另一支自動化程式幾天後又會回來。
後門通常是藏在上傳資料夾或外掛目錄裡的一個小檔案，檔名取得跟系統檔很像，肉眼很難分辨。所以正確的處理一定包含兩件事：查出當初是怎麼進來的（過時的外掛、被猜到的密碼、還是主機上別的網站被攻破後擴散過來），以及用確定乾淨的版本整個換掉，而不是在髒的環境上修修補補。
小公司的網站，為什麼也會被盯上？
沒有人盯上你，是程式掃到你。攻擊者不會一個一個挑選目標，他們用自動化工具對整個網路上的網站測試已知漏洞與常見密碼，中了就自動植入。你的公司多小、網站多冷門都不影響，只看門有沒有鎖好。
被入侵的網站對攻擊者有實際用途：掛連結幫別的網站衝排名、當成發垃圾信的跳板、把訪客轉去詐騙頁面。這些都不需要你的網站有名，只需要它是一個還活著、有正常網域的網站。理解這一點之後，防護的方向就很清楚了：不用追求滴水不漏，只要比隔壁沒更新的網站難進一點，自動化攻擊多半就會跳過你。
裝了 SSL 憑證，是不是就安全了？
不是。SSL（現在實際使用的技術是 TLS）做的事情是把訪客瀏覽器與你的網站之間的傳輸加密，讓同一個網路上的第三者看不到內容，例如在咖啡店用公共 Wi-Fi 填表單時密碼不會被攔走。它保護的是「路上」，管不到「家裡」。網站程式本身有漏洞、後台密碼太弱，憑證完全幫不上忙；被駭的網站網址列上照樣有鎖頭。
憑證仍然是必備的。沒有 HTTPS，瀏覽器會在網址列標示不安全，表單與會員登入更是不該在未加密的連線上進行。好消息是它不一定要花錢：非營利的 Let's Encrypt 提供免費且自動化的憑證，多數主機商已經內建。付費憑證的差別主要在驗證等級與保固條款，加密強度並沒有比較高。如果廠商把「SSL 憑證」當成一筆顯眼的年費報給你，可以問一下買的是哪一種、為什麼需要。
備份要做到什麼程度才算數？
要同時滿足三個條件：放在主機以外的地方、保留多個時間點、實際還原成功過。只做到一兩項的備份，在出事時常常派不上用場。
備份檔跟網站放在同一台主機上，主機被入侵或硬碟壞掉時會一起陪葬。只留最新一份的話，等你發現被駭時，那一份很可能已經是被感染之後的版本；入侵到被發現之間常常隔了幾週，所以至少要能回到一個月前。至於還原演練，很多人備份了三年，第一次要用才發現檔案是壞的，或者只備了檔案沒備資料庫。沒有還原過的備份，只能算是「希望」。建議每半年挑一份備份，在測試環境實際還原一次。
小型網站最該先做哪些防護？
從成本低、效果大的做起。下面這張表依我們建議的優先順序排列，前四項幾乎不花錢，做完就能擋掉大部分自動化攻擊。
| 防護措施 | 擋的是什麼 | 成本與難度 |
|---|---|---|
| 系統、佈景、外掛定期更新 | 已公開的程式漏洞 | 低，需固定有人做 |
| 後台強密碼加雙重驗證 | 猜密碼、外洩密碼重複使用 | 低，設定一次 |
| 異地、多版本備份 | 不擋攻擊，但決定能不能救回來 | 低，可自動化 |
| 移除沒在用的外掛與舊帳號 | 減少可被攻擊的入口 | 低，每季檢查一次 |
| 全站 HTTPS | 傳輸過程被竊聽 | 低，多數主機免費提供 |
| 網站應用程式防火牆（WAF） | 常見攻擊手法與惡意流量 | 中，依服務而定 |
| 可用性與檔案異動監控 | 縮短發現問題的時間 | 中 |
雙重驗證值得多說一句。離職員工的帳號沒刪、管理員密碼跟其他網站共用，是我們查入侵原因時很常見的結果。這些都不是技術問題，是管理習慣。把後台帳號列一張表、每季對一次，比買任何資安產品都有效。這些例行工作由誰負責、費用怎麼算，可以對照 網站維護費包含什麼。如果你的網站有收款與會員資料，還要額外注意金流與個資的處理方式，我們寫在 想做電商網站要注意哪些事。
常見問題
用 WordPress 架的網站是不是比較容易被駭？
WordPress 本身有持續的安全更新，問題多半出在沒更新的外掛與佈景主題。因為使用的網站多，針對它的自動化攻擊也多，所以放著不更新的 WordPress 風險確實偏高。有固定更新、外掛數量精簡、後台開雙重驗證的 WordPress 網站，安全性並不差。
網站存有會員資料，被駭之後需要通知會員嗎？
需要。個人資料保護法第 12 條規定，知悉所保有的個人資料被竊取、竄改或洩漏時應通知當事人，條文也訂有向主管機關通報的相關規定。通知的內容、方式與時限請以主管機關公告的辦法為準，並建議保留調查紀錄、儘快諮詢律師，不要自行判斷沒事就略過。
被 Google 標示為不安全的警告，多久可以解除？
沒有固定天數，要等清理完成並在 Search Console 提出審查、由 Google 確認問題已排除之後才會移除。沒清乾淨就送審只會被退回，拖得更久，所以請先確定入侵點已修補、惡意內容已全部移除再申請。