常見問題

我要不要現在先把網站關掉？誰決定？要關多久？

今天拿不到「已經更新」的文字答覆，比較安全的做法是先請主機商或廠商讓網站暫停對外。美國、英國的資安單位也建議，不能立刻更新的系統考慮先下線。

要不要關，由網站的主人（你或你的單位主管）決定；實際動手的是主機商或廠商。網站後台的「維護模式」擋不住這次的問題，要請他們從主機那一層暫停。

要關多久：沒發現異常的話，關到對方用文字回覆「已更新到哪個版本、已重新啟動」為止；發現異常就要先處理完。詳見「怎樣算處理完」。

我的手機或電腦會中毒嗎？

不會因為這件事本身就中毒。問題出在網站背後的主機，不在你的手機或家裡的電腦裡。

比較需要留意的是：如果某個網站的主機被闖入，網頁有可能被改掉。所以請不要點私訊或簡訊裡的「緊急更新」連結，常去的網站在維護，就等它自己的公告。

網站關掉，代表被駭了嗎？

不一定，多半不是。很多網站是來不及更新，所以先拉下鐵門。關門是為了不要被闖入，不是承認已經被闖入。

目前公開資料裡，沒有一份完整的「哪些網站被偷了資料」清單。新聞裡的關站名單，不能當成受害名單。

要不要改密碼？

如果你是自己登入各個網站的人：某個服務明確公告「已經遭到入侵」，就照它的指示改密碼；那個密碼若也用在別的地方，那些地方一起換掉。沒有公告的話，不需要因為恐慌把每個網站的密碼都換成同一組新密碼。任何人要你把密碼傳給他「幫忙檢查」，都不要給。

如果你是管這個網站的人：更新之後，請管主機的人評估要不要更換這個網站用的密碼，以及它拿來對接其他服務的鑰匙。特別是懷疑被闖入，或這個網站很久沒更新的時候。這不是叫所有訪客都去改自己的密碼。

我自己的網站，是不是已經被駭了？

不一定。不過消息正式公開的幾天前，就已經有人在網路上嘗試，所以「新聞才剛出來，應該還沒人來」這個想法不成立。

有沒有被闖入，要請主機商或廠商看紀錄才知道，不能靠感覺。萬一有疑慮，請他們先把紀錄留下來，不要急著整台重灌，重灌會把線索清掉。

我按了 WordPress 的「全部更新」，這樣夠嗎？

不夠。外掛、佈景主題、WordPress 本身的更新，修的都是「食譜」。這次要更新的是廚房裡的「主廚」PHP，通常要主機商或廠商來做。

主機商說已經有防護，還要更新嗎？

要。網站前面的防火牆、幫網站擋流量的加速服務、主機商的防護規則，都只能多一層看守，不能代替把主廚換掉。對方若只回「我們有防護」，仍要追問更新後的版本號。

打開網站後台的「維護模式」有用嗎？

沒有用。後台的維護模式，是網站程式自己貼出的「休息中」告示，但這次的問題發生在網站程式開始動作之前。要嘛真正更新，要嘛請主機商直接讓網站暫停對外。

主機商會自動幫我更新嗎？

不一定。有的會主動處理，有的要等你提出。最保險的做法，是直接問一次，請對方用文字回覆版本號，並確認已經重新啟動。

新聞說是滿分 10 分的危險，是真的嗎？

官方給的嚴重分數是 9.2 分。「10 分」是消息外流時的錯誤數字。不過 9.2 分已經是「請立刻處理」的等級，不需要等更高的數字才行動。

很久以前的活動網站，放著不管可以嗎？

不行。舊的活動網站、測試網站、當年廠商交的報名系統，只要還打得開，就一樣算。而且舊網站常常用的是更舊、沒有修補的版本。用不到的話，乾脆請廠商關掉。

有人說可以付費幫我「檢測」，要找他嗎？

不要。陌生人主動私訊說要幫你檢測、收費，請當成詐騙。也不要從網路上下載號稱能「測試」這個問題的工具，那類東西會幫倒忙，也可能違法。請直接找你的主機商或廠商。