網站被駭最常見的前兆是突然變慢、後台多出陌生帳號或檔案、Google 搜尋結果出現與你無關的內容。發現後第一步不是關站，而是先切斷攻擊者的入口並保全證據，再從乾淨備份還原。
網站被駭有哪些前兆？哪些要優先處理？
入侵發生前網站會先出現小異常，只是沒有人把它們連起來看。下表依「在哪裡看到」分類。
| 在哪裡看到 | 前兆 | 可能代表什麼 | 優先順序 |
|---|---|---|---|
| Google 搜尋與瀏覽器 | 搜尋結果出現博弈、藥品或簡體字標題；Search Console 收到「安全性問題」通知；瀏覽器出現警告頁 | 被植入垃圾頁面或轉址，Google 已列入警告 | 最高 |
| 網站本身 | 首頁被換掉、多出不認識的連結、手機版自動跳到別的網站 | 程式碼或資料庫已被修改 | 最高 |
| 後台與主機 | 多出不認識的管理員帳號、登入紀錄出現陌生 IP、流量或 CPU 無故飆高 | 攻擊者已取得管理權限，主機可能被拿去當跳板 | 高 |
| 客戶回報 | 客戶收到以你名義寄出的釣魚信、填表單後接到詐騙電話 | 客戶資料可能已外洩 | 最高，涉及通報義務 |
同時出現兩項以上，就當作已被入侵處理，不要再等「確定」。後果有多嚴重，可參考駭客入侵真實案例。
怎麼分辨是被駭，還是單純故障？
分辨的關鍵不是症狀，而是「有沒有不該存在的變更」。故障是東西壞掉或少掉，入侵則是多出東西：帳號、檔案、排程。三個檢查就能初步判斷：
- 查後台帳號清單：有沒有不認識、或在非上班時段建立的管理員。
- 查檔案修改時間：最近七天哪些程式檔被改過，是否對得上廠商的更新紀錄。攻擊者上傳的網頁木馬（WebShell）常偽裝成正常檔名，看時間比看檔名可靠。
- 查稽核紀錄：若系統有每日資料比對與操作紀錄，直接看哪一天開始異常；沒有就只能靠主機商的存取日誌回推。
依 Verizon《2025 Data Breach Investigations Report》，利用已知漏洞入侵約佔入侵事件的兩成且逐年上升，漏洞多半來自沒更新的內容管理系統（CMS）與外掛。
發現被駭後第一步做什麼？要不要先關站？
第一步是隔離與保全證據，不是關站，也不是急著還原。關站讓客戶與 Google 看到網站消失，急著還原則把證據蓋掉，找不到破口就很可能再被駭。建議順序：
- 隔離入口：全部管理員與主機帳號改密碼、啟用雙重驗證（MFA），後台限制公司 IP 登入，前台切維護模式。
- 保全證據：請主機商做快照，把日誌、資料庫與檔案另外複製一份，先不要動原本的檔案。
- 評估影響範圍：被改的是前台頁面、資料庫，還是客戶資料表也被讀取，這決定要不要通報。
- 通知關係人：決策者、維護廠商、主機商當天知情；有個資外洩疑慮時法務也要進來。
- 從乾淨備份還原：選一個確定在入侵之前的時間點，而不是最新那一份。
- 補根因再開站：找出入口並修補，確認帳號與檔案已清乾淨，再解除維護模式並向 Google 申請重新審查。
| 常見做法 | 問題在哪 | 建議改成 |
|---|---|---|
| 直接關站 | 客戶與 Google 看到網站消失，證據也可能遺失 | 切維護模式，前台暫停服務，後台保留 |
| 立刻還原最新備份 | 最新備份很可能已含木馬，還原等於沒清 | 先保全證據，再選入侵前的時間點還原 |
| 修好就結案 | 根因沒補，同一個漏洞還在 | 找出入口、補漏洞、加上持續監測 |
需要報警或通報嗎？哪些情況是法律義務？
只要有客戶個人資料外洩的可能，通知當事人就是法律義務，報警則視損害情況決定。依《個人資料保護法》第 12 條，企業得知個資遭竊取、洩漏或竄改後，應查明並以適當方式通知當事人；同法第 48 條於 2023 年修正後，違反安全維護義務且情節重大者，罰鍰最高可達新臺幣 1,500 萬元。實務上可以這樣分：
- 有個資外洩疑慮：通知當事人、保留證據、諮詢法律顧問。
- 有金錢損失或遭勒索：向警察局或刑事警察局報案，報案證明是日後保險與法律程序需要的文件。
- 需要技術協助與情資：可向台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報。
通報範圍與時點依個案不同，以上是常見做法而非法律意見。要不要主動告訴客戶，我們的經驗是先修好再說明，詳見先修補再報告。
還原之後，怎麼避免再被駭一次？
還原只是回到被駭前的狀態，根因沒補就等於把同一扇門再打開。多數網站被駭的根因不出四種：系統或外掛沒更新、管理員弱密碼且沒開雙重驗證、主機沒修補、沒有人每天看紀錄。2026 年 10 月 PHP 與 Node.js 同日公告高風險漏洞時，有人維運的網站當晚就修補完成，沒人顧的要等出事才知道，過程寫在 Node.js 漏洞怎麼查。
被駭過一次的網站，至少要補齊這五項日常監測，下次異常才會在第一天被看到：
- 每日資料竄改對帳：每天比對資料庫修改紀錄與稽核紀錄，發現繞過系統的修改即時通知。
- 不可修改的稽核紀錄：誰在什麼時候改了什麼，紀錄本身不能被刪改。
- 異常即時通知：可疑變更、備份失敗、帳號異動推送到負責人。
- 每日自動備份到雲端與完整性檢查：備份存放在主機以外，每一份都確認可以解開。
- 多時間點保留與還原程序：還原時才有「入侵前」的版本可選。
這五項是影響視覺科技系統維運與資安監測服務的基本內容；我們維運的一個網站在流量暴增三倍以上時全程正常服務，靠的就是平日的監測。另建議定期安排弱點掃描與滲透測試，由影響資安從攻擊者的角度找出還沒被發現的破口。上線後常漏掉什麼，可參考網站上線後的維護。
下一步：怎麼知道自己的網站有沒有人在顧？
先用三個問題自我檢查，答不出來的那一題就是目前的風險：昨晚的備份有沒有成功、能不能還原？今天凌晨若有人新增管理員帳號，誰會在幾點知道？系統與外掛上一次更新是什麼時候？
有一題答不出來，建議先盤點主機與維護合約的範圍，再決定補強既有廠商的工作或導入持續監測。影響視覺科技自 2018 年成立以來累積 100+ 交付專案，為自家開發、重建或接手維護的網站提供每日監測、備份與對帳，想確認網站現況，歡迎預約諮詢。
常見問題
網站被駭一定要整個重做嗎？
不一定。有入侵前的乾淨備份、根因也找得到，多數情況可以還原後修補再上線。需要重做的通常是沒有備份、程式版本舊到無法更新，或建在已停止維護的系統上。
被駭之後 Google 排名會掉嗎？多久恢復？
會。被列入安全瀏覽警告或被植入垃圾頁面，排名與點擊都會明顯下滑。清理後透過 Search Console 提交重新審查，解除警告後排名逐步回升，恢復時間依個案不同，看被植入的頁面數量與清理是否徹底。
小公司的網站也會被駭客鎖定嗎？
會，而且更常見。多數攻擊是程式自動掃描整個網路，找到有已知漏洞的網站就打，不看公司規模。小公司網站常因外掛沒更新、密碼簡單又沒人看紀錄，反而最容易得手。
維護廠商說「已經修好」，我要怎麼確認？
請廠商提供三樣東西：入侵的入口是什麼、修補了哪些項目、清理後的帳號清單與檔案異動紀錄。只說「清乾淨了」卻講不出入口在哪，代表根因沒找到。之後的備份與對帳結果也要看得到。
參考資料
- TWCERT/CC 台灣電腦網路危機處理暨協調中心，資安通報與處理指引。twcert.org.tw