好多中小企老闆都覺得：「我又唔係大公司，黑客點會睇中我？」事實啱啱相反——網絡罪犯最鍾意揀中小企落手，正正因為佢哋防守薄弱、又未必有人專責 IT。香港警務處數據顯示，2023 年本港科技罪案錄得約 3.4 萬宗，損失金額接近 55 億港元，而受害者入面有唔少就係人手有限嘅中小企。呢篇文唔會叫你請一隊 IT，只係用 5 個實際、低成本嘅方法，幫你擋走最常見嘅攻擊。
三大最常見嘅攻擊
1. 釣魚電郵（Phishing）
攻擊者會扮成銀行、供應商，甚至扮你老闆，發一封好似好正常嘅電郵叫你撳 link 或者入密碼。業界統計，超過八成數據洩漏都同人為錯誤有關，而釣魚電郵就係最常見嘅入口。一條「老闆叫你即刻轉錢」嘅訊息，隨時呃走成個月嘅利潤。
2. 勒索軟件（Ransomware）
呢種攻擊會將你成部電腦甚至成間公司嘅檔案全部加密，跟住彈出一個要求贖金嘅畫面。中小企平均贖金動輒十幾萬美金，而且有研究指出，近六成中小企喺遭受嚴重網絡攻擊後半年內結業。你唔俾錢，資料就冇咗；你俾咗錢，都唔保證佢會解鎖。
3. 商業電郵詐騙（BEC）
呢類攻擊唔靠破解技術，純粹靠呃人：假冒老闆或者合作夥伴，叫會計同事轉一筆錢去一個假戶口。因為佢唔涉及任何惡意軟件，防毒軟件都偵測唔到，所以最難防。
5 招低成本防護
招 1：開啟多因素認證（MFA）
所有公司賬戶——尤其係電郵、銀行、雲端——都應該開多因素認證。即係登入時除咗密碼，仲要入多一組手機收到嘅驗證碼。就算密碼俾人偷咗，冇第二重驗證都入唔到。微軟嘅研究指出，MFA 可以擋走超過 99% 嘅自動化攻擊，係最平但最有效嘅一招。
招 2：做 3-2-1 備份
萬一中咗勒索軟件，最平嘅解決方法就係唔使俾贖金——直接由備份還原。記住 3-2-1 規則：保存 3 份備份、用 2 種唔同嘅儲存媒介、其中 1 份放喺離線或者雲端。每日自動備份一次，成本接近零，但隨時可以救返成間公司。
招 3：定期同員工做釣魚測試
大部分攻擊都係由「撳錯一條 link」開始。每個月用一個簡單嘅模擬釣魚電郵考吓員工，睇吓邊個會中招，再即場教返。重點唔係罰人，而係建立警覺。研究顯示，定期培訓可以將員工嘅中招率由三成降到唔夠兩成。
招 4：勤更新軟件同開防毒
好多攻擊都係靠軟件嘅舊漏洞入侵。將 Windows、瀏覽器、以及所有業務軟件設定成自動更新，再裝一個可靠嘅防毒或端點防護。呢個係免費或者月費極低嘅動作，但可以封走一大批已知嘅攻擊。
招 5：最少權限 + 密碼管理
每個員工嘅賬戶只開到「做嘢所需」嘅權限：會計唔需要用到伺服器嘅管理員權限，實習生亦唔應該睇到全公司客戶資料。配合一個密碼管理器，令每個賬戶都用唔同、夠長嘅密碼，唔好一個密碼走天涯。就算一個賬戶出事，損失都控制喺細範圍內。
網絡安全唔係大公司先要理嘅嘢。對中小企嚟講，一個釣魚電郵就可能令你損失成個月嘅利潤。以上 5 招，大部分都係唔使點花錢就可以做得到嘅基本功。花一日執好基本防護，總好過出事之後先嚟後悔。