網站被駭怎麼辦？香港中小企 24 小時搶救清單

網站突然打不開、被瀏覽器標記為「不安全」、或頁面冒出你從未放過的廣告與轉址——這多半是網站遭到駭客入侵的訊號，當下確實令人心慌。但請先記住一句安心答案：只要把握被發現後的二十四小時黃金搶救期，按步驟處理，多數香港中小企都能把損失壓到最低，甚至讓官網比被駭前更穩固。需要即時支援時，我們的網站維護與託管服務可以協助你第一時間控制災情、減少擴散。

關鍵要點

• 網站被駭並非「大公司才會遇到」的事故，香港中小企同樣是高風險目標，資料外洩與搜尋排名暴跌往往同時發生。
• 三個最常見的入侵訊號——瀏覽器安全警示、陌生廣告與轉址、流量排名驟降——多數老闆要第三天後才察覺。
• 被發現後的二十四小時是關鍵：隔離、改密碼、從乾淨備份還原、提交搜尋引擎重新審查，順序不能亂。
• 被駭的隱形代價不只是當機，還包括搜尋引擎懲罰與客戶信任流失，修復後仍需數週才能完全恢復。
• 預防勝於搶救：定期更新、嚴格備份與還原測試、選擇託管式安全架構，能把絕大多數風險擋在門外。

1. 為什麼香港中小企正成為駭客的高風險目標？

【中小企真的會被駭嗎？】 會，而且比你以為的更頻繁。許多企業主誤以為「我的網站沒什麼好偷，駭客不會理我」，但對攻擊者而言，中小企往往是更好下手的目標——防護薄弱、預算有限、又常握有客戶聯絡資料與交易紀錄，這些恰恰是最容易被利用的資產。

根據數字政策辦公室與香港網絡安全事故協調中心（HKCERT）推出的「網絡安全服務供應商聯動計劃」相關說明，香港生產力促進局與個人資料私隱專員公署的調查顯示，近七成受訪企業在過去一年曾遭受網絡攻擊。這項數字辦引用的調查數據提醒我們：網絡威脅早已不分企業規模，任何線上門面都可能被盯上。

數據說話：網絡攻擊早已不分企業大小

攻擊者常以自動化程式大規模掃描網站漏洞，並不會先判斷你是大集團還是街角工作室。一旦發現過期插件、弱密碼或沒有防護的登入頁，程式便會自動注入惡意程式或嘗試入侵。換句話說，你的網站是否「有價值」，在攻擊者眼中等於「能不能被利用來發送垃圾郵件、轉售流量，或作為下一步攻擊的跳板」。

我們曾協助一間本地教育機構處理案子：他們的官網被植入隱形轉址程式，把部分訪客悄悄導向境外賭博網站將近兩週，負責人卻直到收到 Google 搜尋結果旁的紅色警示才驚覺。這類「低調入侵」正是中小企最容易被忽略的型態，因為它不會立刻讓網站當掉，而是默默消耗你的信譽與搜尋評價。

「沒人會盯上我」是最危險的誤判

另一個常見誤區，是把網站安全當成「上線就結束」的項目。事實上，安全是一場持續的攻防：新的漏洞每天被公開，舊的程式如果沒更新，就等於在門上留了一把沒拔的鑰匙。把「不會被駭」當成運氣，往往比遭遇攻擊本身更危險，因為你從未準備過應變，也沒有還原的依據。

常見的入侵入口，往往不是什麼高深攻擊，而是再日常不過的疏忽：一組多年沒改的弱密碼、一個早已停止維護卻仍掛在網站上的舊外掛、或是一個沒有嘗試次數限制的登入頁，被攻擊程式不斷猜測帳號密碼。把這些小事補好，就能關掉大多數自動化攻擊的門，根本不需要昂貴的防禦設備。

2. 三個入侵訊號，多數老闆第三天後才發現

【怎麼知道網站被駭了？】 最明顯的徵兆未必第一時間出現，許多入侵會潛伏數天甚至數週。以下三個訊號，是我們在協助客戶時最常見、也最常被忽略的。

瀏覽器突然標記「不安全」或「詐騙網站」

當 Chrome、Safari 等瀏覽器在網址列亮起紅色警示，或搜尋結果旁出現「這個網站可能遭到入侵」的標語，通常表示搜尋引擎已偵測到你的網站散播惡意程式或釣魚內容。這類警示一出，多數訪客會當場關掉頁面，等於直接把潛在客戶拒於門外，連解釋的機會都沒有。

頁面被塞入陌生廣告、轉址與不明連結

有些入侵不會立刻破壞網站，而是悄悄在頁面裡塞入你沒放過的橫幅廣告、把點擊導向陌生網站，或在底層程式碼埋入大量垃圾連結。這些變化往往只在部分頁面、部分時段出現，肉眼很難察覺，卻足以拖垮使用者體驗與品牌觀感，長期下來也會拖累搜尋評價與轉換。

流量與排名一夜暴跌，後台冒出陌生帳號

如果你的自然流量與關鍵字排名突然無故下滑，或網站後台、主機帳號出現你從未建立的管理者帳號，那幾乎可以確定系統已被取得權限。攻擊者可能正在竊取資料、預留「後門」，為下次入侵鋪路，這也是最需要立即處理的危急訊號，切勿拖延。

3. 黃金 24 小時：網站被駭搶救清單（逐步）

【被駭後第一步該做什麼？】 發現入侵當下，最重要的是「先止血、再清理、後復原」，切忌慌亂中直接刪檔或重灌而破壞證據。以下二十四小時的節奏，是我們給香港中小企的實戰建議。

第 1 小時：隔離災區、保全證據

先暫時將網站切換到「維護中」頁面或暫時下線，阻斷攻擊者繼續活動；同時完整備份目前（被駭狀態）的檔案與資料庫，留作後續分析與報案用途。不要急著刪除可疑檔案，因為它們能告訴你入侵路徑在哪，是日後補洞的關鍵線索。

第 2–6 小時：重置所有密碼、開啟雙重驗證

立刻更改主機、網站後台、資料庫與相關電郵帳號的所有密碼，並啟用雙重驗證（2FA）。許多入侵源於一組外流密碼被反覆嘗試，重設憑證能切斷攻擊者手握的鑰匙，是防止「清完又被駭」的關鍵一步，也常被企業忽略。

第 6–12 小時：從乾淨備份還原或清除惡意碼

若有定期、且確認乾淨的備份，直接從該版本還原是最快最穩的做法。若沒有備份，則需逐一看過被竄改的檔案、資料庫與上傳目錄，移除惡意程式與隱藏的後門。這一步技術性較高，建議交由熟悉香港環境的專業團隊處理，避免清不乾淨留下隱患，導致數週後再次被入侵。

第 12–24 小時：提交搜尋引擎重新審查、通知相關方

清理完畢並確認網站乾淨後，透過 Google Search Console 提交「安全問題」已解決的請求，讓搜尋引擎重新審查並解除警示。同時，若客戶資料可能外洩，應主動通知受影響的一方並說明已採取的防護，誠實溝通比沉默更能留住信任。值得注意的是，被駭網站若被植入垃圾內容，往往會連帶污染你在搜尋結果中的呈現；Semrush 近期關於「被污染搜尋結果」的分析便指出，搜尋數據與結果的可信度在攻擊事件後需要時間修復，企業必須主動監測並驗證真實能見度。與此同時，建議在接下來一至兩週持續監測流量、搜尋排名與安全掃描結果，確認沒有殘留的惡意活動，因為部分攻擊會在低調清理後才再次活躍。

4. 被駭的隱形代價：SEO 與客戶信任同時受傷

【被駭除了當機還有什麼損失？】 最直觀的損失是網站當掉、生意暫停，但真正長痛的，是搜尋排名與客戶信任的雙重受創，而且兩者經常同時發生。

搜尋引擎如何懲罰被駭網站

Google 等搜尋引擎會主動掃描並標記散播惡意程式的網站，輕則在結果旁加註警示、重則直接將網頁從索引中移除。即使你已清理完畢，搜尋引擎的重新審查與解除警示仍可能耗時數天到數週，這段期間自然流量幾乎歸零。對依賴搜尋曝光接單的企業而言，這段空窗期的代價往往比入侵本身更高，因為你既失去了能見度，也失去了潛在詢價。

資料外洩與商譽損失，比當機更長痛

當客戶名單、報價紀錄或會員資料被竊取，損害的不只是資料本身，還有客戶對你「能否妥善保管資料」的信任。一次外洩事件，可能讓經營多年的口碑在短期內動搖，而重建信任所需的時間，遠長於修復一個網站。這也是為什麼我們始終建議把SEO 搜尋引擎優化與網站安全並列看待——兩者都決定客戶「找不找得到你、敢不敢信任你」。

5. 預防勝於搶救：把風險擋在門外

【如何避免網站被駭？】 搶救做得再好，都不如根本不被駭。以下三道防線，是中小企今天就能建立的基礎防護，不需要龐大預算也能起步。

更新、權限與監測：三道日常防線

第一，定期更新網站程式、外掛與主題，讓已知漏洞及時修補；第二，落實最小權限原則，後台帳號只給必要人員、並強制高強度密碼與雙重驗證；第三，啟用基本的安全監測與異常告警，讓入侵在造成可見損害前就被發現。這三件事看起來基礎，卻能擋下絕大多數自動化攻擊，是性價比最高的起點。

備份是底線，還原測試才是保險

再嚴密的防護都可能被突破，因此備份是最後一道底線。建議每週至少一次全站備份，電商或每日交易的網站應每日備份；更重要的是定期做還原測試，確保備份真的能救回網站，而非只是一份打不開的檔案。正如IT PRO 在本地科技論壇強調的「可信賴資料」觀點：數碼營運的根基在於資料能否被保護與還原，網站備份與存取管控正是這道防線的具體實踐。我們在網站維護攻略一文中，也整理了每月可執行的備份與更新清單，供企業直接套用。

平台選擇：託管式架構比手寫代碼更抗攻擊

你用什麼方式建網站，從一開始就決定了安全天花板。手寫或自行架設的網站若缺乏自動化更新與統一修補，漏洞容易隨時間累積；而具備託管式安全架構的建站平台，則由供應商集中監測、定期修補，並提供備份與防火牆等防護。兩者的取捨，本質上是在「彈性」與「開箱即用的安全」之間做權衡。我們在比較手寫代碼建站與自研 SaaS 平台的差異時，便特別提醒：平台的內建防護，往往比事後請人修來得穩。若你的舊網站經常出問題、又擔心安全，也可考慮交給香港專業網頁設計服務規劃更省心的方案。尤其當網站涉及會員、交易或客戶個資時，由專業團隊統一管理防火牆、存取權限與修補排程，比仰賴個人抽空維護來得可靠，也能在事件發生時更快啟動應變。

常見問題

問：網站被駭後，Google 警示多久才會解除？

答：視清理的完整度與搜尋引擎審查速度而定。多數情況下，提交重新審查後需等待數天至數週，期間網站可能仍帶警示或排名偏低。重點是先徹底清除惡意程式與後門，再提出審查，避免反覆被標記。

問：沒有備份，網站被駭還能救嗎？

答：可以，但難度與風險較高。需逐一看過被竄改的檔案、資料庫與上傳目錄，手動移除惡意碼並修補入侵路徑，過程可能遺漏隱藏後門。這也是為什麼我們強調備份是必要底線，而非可選項目。

問：為什麼我的網站沒有交易，還是會被駭？

答：攻擊者多數以自動化程式大規模掃描漏洞，不會先評估你的業務規模。被入侵的網站常被拿來發送垃圾郵件、架設釣魚頁或作為攻擊跳板，未必是為了竊取你的資料，因此任何網站都可能成為目標。

問：自己清理和找專業團隊，差在哪裡？

答：自己清理容易因不熟悉攻擊手法而漏掉後門，導致「清完又被駭」。專業團隊能系統化定位入侵路徑、徹底清除並強化防護，同時協助處理搜尋引擎解除警示與客戶溝通，恢復速度與完整度通常更好。

問：中小企預算有限，最基本先做哪三件事？

答：第一，把所有網站與主機密碼改為高強度並開啟雙重驗證；第二，啟用每週自動備份並做一次還原測試；第三，把網站程式與外掛更新至最新版本。這三件事幾乎零成本，卻能擋下大多數常見攻擊。

結論：把「被駭」從運氣，變成可管理的風險

網站被駭從來不是遙遠的災難，而是香港中小企在數碼轉型過程中必須正視的日常風險。但好消息是，它同時是可以被預防、被控管的——你不需要等到出事才學會搶救，也不必獨自面對每一次警示。

關鍵是別再把安全當成「上線後就結束」的項目。把它納入例行的網站維護與託管服務，讓更新、備份、監測與緊急支援成為常態，你的官網才會在每一次點擊裡，都給客戶一個安心停留的理由。更多實戰觀點，也歡迎瀏覽WEBER 部落格。