Pegasus 間諜軟件與 NSO Group 相關，並在定向監察研究中被記錄，不是所有手機變慢或故障的名稱。Amnesty International 的取證研究描述疑似攻擊調查中找到的痕跡，以及不同裝置紀錄所能揭示的範圍和限制。［1］

實際問題是你的風險背景與可用證據。平常保護可看數碼私隱基本框架。可信的定向間諜警告有別於不明耗電，要保存資料、核實通知並取得專業支援。

關鍵要點

高階僱傭間諜軟件昂貴而有選擇性，普通症狀不能識別 Pegasus。

真實 Apple 通知表示對被針對有高度信心，不一定確認感染。

鎖定模式縮小攻擊面並限制功能，不是偵測或移除工具。

高風險應變要保護人和證據，不能用個人掃描宣稱乾淨。

誰有風險，「被針對」代表甚麼？

Apple 把此類攻擊描述為非常複雜、針對少量人士，包括記者、倡議人士、政治人物和外交人員。大多數人不會成為此類目標。［2］這個背景有助避免恐慌，但不表示具有潛在監察價值的人可以忽略風險。

想一想對方可能要取得甚麼：保密通訊、消息來源、組織計劃或對其他人的存取。風險不限職業名稱，同事、來源及家人亦可能掌握敏感聯絡。可信官方警告和專業評估，比「只有名人有危險」更重要。

被選為目標、攻擊嘗試與成功失守是不同說法，嘗試可能失敗。調查可找到支持感染的證據，亦可能紀錄不足。結論要符合證據，不把通知當作完成的取證診斷。

記者數碼安全指南涵蓋較廣的通訊與組織實務。這裏聚焦具體監察疑慮，不代替僱主流程或消息來源保護計劃。

一般症狀能識別 Pegasus 間諜軟件嗎？

耗電、發熱、系統無回應和流量改變可以有很多原因，值得一般排查但不能識別 Pegasus。受監察手機亦可運作正常。嚴重症狀與順暢運行都不足以判定某工具。

帳戶登入通知亦不同於裝置失守，密碼可能在電話未感染時被取得。敏感資料被公開時，起底應對指南協助處理曝光及威脅，不應把所有私隱事件合成間諜軟件診斷。

觀察	合理判斷	有用行動
耗電或效能改變	非特定裝置問題	透過官方支援排查
非預期帳戶工作階段	可能有帳戶存取	在可信裝置保護存取
已核實 Apple 威脅通知	高可信定向攻擊疑慮	保存通知及尋求專業應變
專家取證發現	有明確限制的證據	按調查者隔離方案處理
無通知或無指標	有限陰性資料	不當成無感染保證

鍵盤記錄器描述較窄的輸入擷取，殭屍網絡涉及協同控制裝置。它們是不同屬性，不能從陌生程式或流量高直接推斷。

分清裝置監控、帳戶存取和分享設定時，可使用一般間諜軟件復原框架；一般檢查不能排除高能力定向攻擊。

如何查證 Apple 威脅通知？

Apple 目前指引描述受支援裝置介面、帳戶電郵及帳戶頁橫幅等通知方式。自行進入已知 Apple 帳戶網站登入查看，疑似失守時改用可信裝置。電郵外觀或顯示的寄件人名稱不能單獨證明真偽。［2］

Apple 表示這種通知不會要求你透過電郵或電話點連結、開檔案、安裝應用或描述檔，亦不會索取密碼或驗證碼。要求這些行動的訊息要獨立查證。冒認者也會利用真實安全疑慮，急促語氣不令指示可信。

保存真通知及收到時間，存放方法要符合工作敏感性。組織提供支援時，透過既有渠道聯絡保安團隊。Apple 亦指向 Access Now Digital Security Helpline 專業協助，應自行找到已知公開渠道，不使用陌生人推介的中介。

通知表示對被僱傭間諜軟件針對有高度信心，不必然指出攻擊者、證明攻擊成功，或確認使用 Pegasus。向同事交代時保持準確，避免初步警告演變成無根據公開指控。

鎖定模式能做甚麼，界線在哪裏？

鎖定模式是為可能遭高度定向攻擊的人而設的可選保護。Apple 說明它透過限制部分功能減少攻擊面，改變設備行為，不掃描 Pegasus，不證明攻擊失敗，也不認證已有間諜軟件被移除。［3］

限制可能影響訊息附件及預覽、部分網頁技術、通訊功能、連接及新管理描述檔。實際行為按平台和版本不同。依 Apple 說明，普通通話、短訊及緊急功能仍可用，但某些日常操作較不方便。查閱所用裝置的現行官方頁面。

支援的 iPhone、iPad 可依次開啟 Settings（設定）、Privacy & Security（私隱與保安）及 Lockdown Mode（鎖定模式），按指引啟用及重啟；支援的 Mac 從 System Settings（系統設定）進入相同的私隱與保安項目。安裝最新受支援軟件，逐部檢查相關設備，不假設一台電腦啟用便全部啟用。

網站或應用例外會降低該活動的防護。服務失效時先考慮更安全選項或專家建議，不慣常關閉模式。既有組織管理也要小心：阻止新登記不等於移除已有管理，先聯絡負責團隊，不盲目刪描述檔。

重設或調查前要保存甚麼？

保留通知、可疑訊息、大概時間、型號、系統版本和已做的措施，分清原始觀察與猜測。這幫助專家選擇調查途徑，不必反覆要求你憑記憶重建經過。

不要只求安心便立即清除裝置，重設與反覆清理會改變可能有用的紀錄；亦不要只為證據而繼續在可疑裝置處理敏感通訊。在較安全設備聯絡專家，問清如何平衡隔離、證據和工作。

避免安裝陌生「Pegasus 偵測器」或執行不理解存取權的指令。備份及取證匯出可能包含敏感通訊與帳戶資料，不放公開儲存庫、開放分享連結或交隨機診斷服務。與可信調查者約定安全傳送方式及範圍。

Amnesty 方法講述具體痕跡與技術，不是所有消費者通用的合格測試。［1］證據可用性因平台版本不同，缺少指標可能是紀錄或覆蓋有限。專家應說明找到甚麼及不能排除甚麼，沒有結果不保證沒有感染。

如何保護帳戶和繼續工作？

在可信裝置審閱重要帳戶、復原渠道及工作階段。別人的通訊可能受影響時，以約定安全渠道通知相關人士，只分享行動所需資訊。公開宣布可能暴露來源，或在安全方案建立前透露應變步驟。

更新受支援設備、按風險考慮鎖定模式及依專業隔離指引處理。零日漏洞指南區分修補可用和安裝成功。「零點擊」表示某種攻擊或毋須點擊，不表示所有工具相同，亦不令用戶決定失去作用。

用網絡工具處理裝置失守前，閱讀VPN 的追蹤界線。端點上的監察程式可能在加密前或解密後讀資料，改變流量路線不能證明端點可信。

負責任的跟進如何安排？

約定聯絡人、安全通訊及調查範圍。記下評估過的設備、軟件版本及證據實際支持的結論。一部手機的評估不自動涵蓋手提電腦、帳戶或之後使用期間。

持續留意保護設定和更新，不不停找令人恐懼的症狀。新證據出現時帶紀錄回到專家，不反覆做未核實自測。即使歷史紀錄不足以給完全肯定，仍要有據可依的風險決定與可行通訊安排。

總結

結合背景及可信證據評估定向監察風險。
獨立查證官方通知並保存相關紀錄。
理解鎖定模式減少攻擊面的作用及功能限制。
取得專業協助，症狀清單或陰性掃描都不保證安全。

常見問題

電池耗電就表示 Pegasus 嗎？

不是，電池變化有很多普通原因，不能識別某種間諜工具。可信警告或取證證據須另一類應變。

Apple 威脅通知確認感染嗎？

不確認，它表示對被僱傭間諜軟件針對有高度信心。攻擊成功與具體工具仍須更多證據。

沒有通知便證明安全嗎？

不能，通知不是完整偵測保證。無論有無警告，都要結合風險背景及其他可信證據評估。

鎖定模式可移除 Pegasus 嗎？

它是保護模式，並非移除或診斷工具。既有失守與證據需要應由合資格專業支援評估。

應立即重設手機嗎？

可信定向失守疑慮下先尋求指引，重設可改變證據，隔離及安全通訊要配合個人情況。

可以上載備份讓陌生人查嗎？

避免，備份可含通訊和憑證。與可信調查者約定安全流程，訂明調查範圍後才傳送。

一般用戶跑工具可排除感染嗎？

沒有通用個人測試能保證不存在感染。工具與指標都有覆蓋界線，合資格評估須明確交代。

**免責聲明：**本文屬一般資訊，不是取證診斷、歸因或個人安全計劃。高風險監察可影響消息來源及人身安全，應取得合資格協助並遵守適用證據保留要求。

來源:

Amnesty International - Forensic Methodology Report: How to catch NSO Group’s Pegasus — https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/
Apple - About Apple threat notifications and protecting against mercenary spyware — https://support.apple.com/en-us/102174
Apple - About Lockdown Mode — https://support.apple.com/en-gb/105120

Sources checked 2026 年 10 月 5 日。

延伸閱讀:

甚麼是 Pegasus 間諜軟件？誰面臨風險及如何安全求助