網站被駭的前兆有四類：後台出現陌生帳號或檔案、頁面或搜尋結果被塞入不明內容、流量或寄信量無故暴增、Google 顯示安全警告。發現後第一步是先留證據再隔離，不要急著重灌。
網站被駭的前兆有哪些？
多數網站不是一夕之間被攻破，而是先出現幾個小異常，只是沒有人在看。
| 類別 | 你會看到什麼 | 通常代表 |
|---|---|---|
| 後台與檔案 | 多出沒人建立的管理員帳號；程式目錄多了陌生檔案；檔案修改時間落在半夜或假日 | 駭客已取得後台或主機權限，正在放後門 |
| 頁面與搜尋結果 | 首頁或內頁被改；搜尋結果標題變成日文、賭博、藥品關鍵字；點進網站被跳轉到別站 | 網站被拿來做垃圾 SEO 或導流 |
| 流量與寄信 | 流量在非上班時間暴增；主機商通知你的帳號大量寄垃圾信；伺服器突然變慢、常當機 | 主機被當作攻擊跳板或垃圾信發送站 |
| 外部警告 | Search Console 收到「安全性問題」通知；瀏覽器顯示「這個網站可能已遭駭客入侵」；客戶收到冒用公司名義的信 | 入侵已被外界察覺，品牌與排名正在受損 |
前兩類是內部訊號，後兩類是外界先發現。如果你是從客戶或 Google 那裡才知道，代表入侵可能已持續一段時間。駭客常從過期外掛、弱密碼、未更新的程式語言版本進來，國內外的網路駭客案例可參考駭客入侵真實案例。
前兆和一般故障怎麼分？
判斷原則只有一句：故障找得到合理原因，入侵則是「有人動過，卻找不到是誰做的」。網站變慢若剛好在更新外掛或主機商維護之後，多半是故障；若沒有人操作，訂單、會員資料或頁面內容卻被改了，就要往入侵的方向查。
能這樣分辨的前提，是後台每次登入、修改、權限異動都有紀錄，而且駭客改不掉。沒有稽核紀錄的網站，出事時連「什麼時候開始的」都答不出來。其他上線後常被忽略的項目，整理在網站上線後的維護。
網站被入侵了怎麼辦？第一步做什麼？
第一步是留下證據，不是修復。很多企業一發現網站被攻擊，直接叫工程師重灌或刪掉可疑檔案，結果把駭客怎麼進來的線索一起刪掉，漏洞沒補，過幾天又被入侵一次。建議按這個順序處理：
- 留證據：對主機做快照或完整備份，連同日誌、資料庫複製到主機以外的地方；畫面異常先截圖，記下發現時間。
- 隔離：把網站切到維護頁面，或限制只有公司 IP 能進後台；更換主機、後台、資料庫、網域商與雲端帳號的所有密碼；停用不認識的帳號與 API 金鑰。
- 判斷影響範圍：從稽核紀錄與日誌找出入侵時間點，確認哪些資料被讀取或修改，特別是會員個資、訂單與金流資料。
- 從乾淨備份還原並補漏洞：用入侵時間點之前的備份還原，再更新程式語言版本、外掛與主題。備份必須保留多個時間點，因為「昨天那一份」常常已含後門。
- 通知：依影響範圍決定要通知誰，下一節說明。
- 復原後加強監測：重新上線後是最容易被再次入侵的時期，要每天確認資料與檔案有沒有再被動過。
共同原則是先止血、再通知、最後才做長期修補。面對重大漏洞時我們對客戶也是先升級再報告，理由寫在先修補再報告。
網站被駭要不要關站？
是否關站取決於一件事：網站現在還在不在對外造成傷害。正在散播惡意程式、把訪客跳轉到釣魚頁，或個資持續外流，就應該立刻下線，損失幾天營收遠小於被客戶或主管機關追究。只是搜尋結果被塞入垃圾關鍵字，而且後台已隔離，用維護頁面局部處理即可。
| 處置方式 | 適合情況 | 風險 |
|---|---|---|
| 整站下線 | 散播惡意程式、跳轉釣魚頁、個資持續外流、找不到入侵點 | 營收與形象短期受損，但範圍可控 |
| 維護頁面加後台封鎖 | 入侵點已確認且已隔離，只剩清理與還原 | 若誤判入侵點，駭客仍可能在線上活動 |
| 維持運作、背景修復 | 只有搜尋結果或少數頁面被竄改，前台功能正常，且有稽核紀錄可監看 | 清理期間 Google 可能持續標示不安全 |
不論選哪一種，Google 的遭駭標示不會因為關站就消失，清理完成後要到 Search Console 提出審查要求才會移除。
要不要報警或通報？
只要涉及個人資料外洩或金錢損失，就要通報；只是頁面被塗改且沒有個資，可以先自行處理並留存紀錄。台灣的規定分三個層次：
- 通知當事人：《個人資料保護法》第 12 條規定，個資被竊取、洩漏或竄改時，企業查明後應以適當方式通知當事人。所有公司都適用，不分產業或規模。
- 報警：有金錢損失、被勒索，或有人冒用公司名義詐騙客戶，可向轄區警察局或刑事警察局報案，詐騙相關也可撥 165 專線。報案需要第一步留下的證據。
- 通報主管機關：《資通安全管理法》的通報義務只適用於公務機關與關鍵基礎設施等特定非公務機關，一般中小企業不在其中。上市櫃公司發生重大資安事件須發布重大訊息（金管會，2021 年）。一般企業也可向台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報，取得處理建議。
也要通知主機商與網域商，請他們封鎖異常流量並確認網域設定沒被改。
怎麼在被駭之前就看到前兆？
答案是把「有沒有人動過資料」變成每天自動產生的訊號，而不是等客戶或 Google 來告訴你。一般防護是在門口擋人，最麻煩的是有人已經進到裡面偷偷改資料，所以影響視覺科技的系統維運與資安監測把重點放在內部訊號：
- 每日資料竄改對帳：每天比對修改資料與稽核紀錄，發現沒有對應操作紀錄的變更就通知。
- 不可修改的稽核紀錄：後台每次登入、修改、權限異動都留下任何人都改不掉的紀錄。
- 異常即時通知：可疑變更、備份失敗、帳號異動推送到通訊軟體，不用等人上班看報表。
- 每日自動備份到雲端與完整性檢查：備份存放在主機以外，每份都確認可正常解壓、大小合理，不合格就通知。
- 多時間點保留與還原程序：保留多個時間點的備份，才能還原到入侵之前那一份。
監測也能分辨「攻擊」和「真的有人來」。我們接手維護的一個新聞媒體網站，曾因外部事件流量暴增三倍以上，因為事前已有監測與效能調整，網站全程正常服務，沒有誤判為攻擊而關站。
監測之外，建議定期做弱點掃描與滲透測試，在駭客之前先找到漏洞，這部分由影響資安提供弱點掃描與滲透測試服務。遇到像 PHP2Shell 與 Node.js 這類同日爆發的高風險漏洞，修補流程可參考PHP2Shell 與 Node.js 漏洞修補。
如果你的網站已出現上述任何一種前兆，或上線後從來沒有人每天看過它的狀態，可以先預約諮詢，我們會依你的系統現況說明監測、備份與稽核紀錄可以怎麼建置。
常見問題
網站被駭會影響 Google 排名嗎？
會。Google 判定網站遭駭後，會在搜尋結果加上警告標示，點擊率明顯下降；被塞入垃圾關鍵字也會讓網站主題變得混亂。清理完成並通過 Search Console 審查後標示才會移除，排名恢復時間依個案不同。
直接重灌網站就好了嗎？
不夠。重灌只清掉現有的後門，沒有補上駭客進來的漏洞，也沒有留下證據。正確做法是先留證據、找到入侵點、修補漏洞，再從乾淨的備份還原；若備份本身已含後門，重灌後很快會再被入侵。
網站有 https 就不會被駭嗎？
不會。https 保護的是資料在瀏覽器與伺服器之間傳輸時不被竊聽，和後台弱密碼、過期外掛、程式漏洞無關。多數入侵是從這些地方進來的，鎖頭圖示只代表連線加密。
怎麼知道個資有沒有外洩？
看稽核紀錄與資料庫日誌，入侵時間點之後有沒有大量讀取會員或訂單資料表的紀錄，以及主機有沒有異常的大量對外傳輸。沒有這些紀錄時，通常只能假設最壞情況，依個資法通知當事人。