AWS 被盜刷怎麼辦？先分診、再止損，刪錯一步證據就沒了

把帳單明細按服務排序，用量最大的那一行落在 ap-south-1，孟買。你的伺服器全在香港，玩家集中在台灣，團隊裡沒有一個人開過印度這個區域的機器。

先排除兩個方向：不是廠商算錯帳，也不是你的架構在漏錢。剩下最合理的解釋，是有別人的程式拿著你的金鑰，在你的帳號裡開機器。帳單每小時都在漲，此刻代價最大的兩個動作，一是把它當架構問題往程式碼和設定裡查三天，二是手癢把機器和金鑰刪光。這篇要做的就是避開這兩件事：用三步分診分清「自己的架構漏錢」和「帳號被盜」，確認被盜後按什麼順序止損，以及這筆錢最後怎麼爭。後台操作以 AWS 為例，其他雲廠商的分診順序和止損邏輯相同，只是按鈕名字不同。

帳單暴增有兩種。直播 CDN 帳單為什麼暴增？拆成四塊自己查拆的是第一種：資源都是你自己開的，錢漏在計價模式、峰值或回源這些架構環節。這篇拆第二種，也就是 AWS 被盜刷這類案子：漲的不是你的用量，是別人的機器在你的帳號裡跑。兩種的應對完全不同——第一種慢下來對帳就好，第二種每一小時都在計費，而且處理順序錯了，會連累後面的減免申請。

帳單暴增的兩種，先分清再動手

我看帳單，先看區域，金額反而放後面。台灣、香港的遊戲和直播團隊，資源就集中在香港、台北、新加坡這幾個地方，明細上突然冒出一個你們從沒用過的區域，這個信號比金額本身準得多。

兩種暴增的特徵，對照著看：

對到左欄，對策在帳單暴增那篇，把四塊拆開就能定位。對到右欄，往下走分診，別回去調架構。把被盜當架構問題查，查三天也不會有結果，因為那台機器本來就不是你的架構的一部分。

三步分診：從明細、資源到操作日誌

三步走完，你手上就有「是不是被盜」的答案。台灣、香港的團隊按這個順序，在自己家的主控台（console，廠商的管理後台）裡走一遍，不動任何資源，不會有副作用。

圖的讀法：頂端一個入口「帳單暴增」，往下是分診三步；三步走完只會掉進兩個出口——機器都叫得出名字是自漏（青色，回帳單暴增文），有機器沒人認領是被盜（紅色，往下走三階段止損）。圖右下的「先停用、後刪除」和「8 裝置」是整個流程裡最容易做錯、也最值錢的兩處。

第一步看的是錢掉在哪。明細按服務排序，最貴的幾行就是燒錢點；再按區域切一刀，被盜的案子裡，異常用量常常整段落在你沒碰過的區域。明細上的英文行話認不全沒關係，報價單和帳單共用的那些詞，雲端報價單行話字典逐行翻過，這裡只認兩樣：區域名和服務名。

第二步數機器。逐區域把機器清單點開，每台都問一句：這台誰開的、幹什麼用的。叫得出用途就歸架構問題；叫不出來的，截圖留證，先別開機，也先別刪。

第三步對時間線。操作日誌把「誰在什麼時間做了什麼」記成一筆一筆的紀錄。要看的信號有兩種，而第二種比第一種常見得多：一種是陌生的用戶、金鑰、政策什麼時候被建立；另一種是你原本就在用的那組金鑰，有沒有在你們沒人上班的時間被拿去開機。駭客多半不新建身分，直接拿外洩的舊金鑰就用，只盯「新建立」的實體，整案會查空。它動手的時間、你們最後一次正常操作的時間，這兩點之間就是外洩到被利用的窗口，也是開案時要交代的時間線。

用 AWS 的話，這一步有幾個容易白忙的坑。操作日誌只保留 90 天，而且只記管理事件（開機器、改權限這類操作），不含 S3 物件層的資料事件；查詢一次也只能鎖一個帳號、一個區域。IAM 這種全域服務的事件，官方記在美東（N. Virginia）區域，多數人要切到那個區域才找得到。想留超過 90 天，得另外建一條 Trail，把日誌長期存到 S3。

數據來源: AWS CloudTrail《Working with CloudTrail event history》（Event history 保留過去 90 天的管理事件、不含資料事件、查詢限單一帳號與單一區域）與《CloudTrail concepts》（CloudFront、IAM、STS 的全域服務事件記在 us-east-1），2026-10-03 親自核對。

帳號這麼小，誰會盯上你？

分診走完，仍有人不肯信：我們就三五個人、一台伺服器，值得誰來盜？

值得。盜號的不是人，是程式。金鑰外洩之後被掃到，機器人就自動開機挖礦（用你的機器幫別人算加密貨幣），帳單算你頭上。它不看你的帳號值多少錢，只看金鑰好不好用。台灣、香港的小團隊常見一種鬆法：root 帳號（開戶那個最高權限帳號）沒開 MFA（多重要素驗證，登入要多輸一組手機動態碼），金鑰在群組對話裡傳來傳去，反而是最好下手的。

找廠商業務吵架，方向也錯了。明細上每一行都是真實發生的用量，只是操作者不是你；帳單沒有算錯。先止損、留證據，再開案爭議，順序不能倒。

最危險的直覺是第三種：先把機器和金鑰全刪了再說。刪除會同時毀掉兩樣東西：減免申請要用的證據，和追時間線用的線索。AWS 官方指引在這一步寫得很清楚：先把新金鑰發下去讓應用換上，舊金鑰停用（deactivate，讓它失效但保留紀錄）但不要刪，驗證業務正常之後才准刪除。

止損順序：官方的三階段

確認被盜，AWS 官方指引分三階段：驗證（Verify）、補救（Remediate）、加固（官方節名是「為 root 帳號啟用 MFA」）。順序照走，每一步都有理由。

第一階段，驗證。先到支援中心（Support Center）回應 AWS 給你的異常活動通知；通知還沒來、是你自己發現的，直接開案說明。同時核對帳號聯絡資訊：root 的電子郵件、主要聯絡人、備用聯絡人有沒有被改過。被盜的帳號常被先改聯絡信箱，讓官方通知發不到你手上，你卻還在等通知。

第二階段，補救。金鑰的處理照官方原文走：先更新、再停用、不刪除，驗證應用正常後才刪。AWS 偵測到憑證外洩時，會自動把一條隔離政策 AWSCompromisedKeyQuarantineV2 掛到受影響的 IAM 用戶上；它封鎖的是一批高風險動作（開機器、建金鑰、改權限、刪資源，連讀 S3 物件、列 IAM 使用者這類讀取也一起擋），清單沒列到的動作仍照原本權限走，所以它不是「唯讀」，也不是把帳號鎖死。資源清單連沒開過資源的區域一起查；不明的機器在銷毀前先做磁碟快照（snapshot，把磁碟在當下時點完整備份一份）留證。操作日誌裡查有沒有未經授權的用戶、金鑰和政策，把時間線對齊。

第三階段，加固。root 帳號開 MFA。官方上限是 root 使用者和每個 IAM 使用者各可註冊最多 8 個 MFA 裝置（角色不掛 MFA）；這個上限的用意是給同一個身分多備幾把，少一台裝置也進得去，技術負責人的身分就該多綁一組備援裝置。這一步做完，同樣的攻擊進不來第二次。

台灣、香港的團隊在第二階段最常卡住：業務還在跑，金鑰一停服務就斷線。這不是二選一，官方的順序本身就有緩衝：先把新金鑰發下去讓應用換上（這就是「更新」那步），再停用舊金鑰，確認一切正常，最後才刪。停用和刪除之間隔著的驗證時間，就是留給你的餘量。

這筆錢最後誰擔

合約是你簽的，卡是綁你帳號的，這筆錢的第一責任在你：廠商沒有義務替你盯著每組金鑰，減免要自己開案去爭。管道就是支援中心開案，說明哪些用量未經授權，附上分診三步留下的證據：時間線、資源截圖、操作日誌。AWS 官方的帳號被盜應對流程裡，本來就有回應通知和開案這兩步；核不核減、減多少，個案審核，沒有人能替你保證結果。

能保證的是另一件事：證據留得全，案子才立得住。前面每一步都叫你先留後刪，就是為了這裡。

新加坡、馬來西亞的團隊還有一個問題：要不要報警。報警是權利，隨時可以做；廠商端的證據整理和開案先做，廠商的回覆會是報警材料的一部分。

還有一件事比減免更值得做：把帳號控制權收回到自己手裡。被盜是營運中的事，但控制權的坑多半是開戶那天埋的，主帳號用誰的信箱、實名掛誰、技術負責人離職怎麼交接，老闆十問那篇在簽約前就該問完。

最便宜的四道事前防線

事後的每一步都比事前貴。四道防線按成本從低到高排：

第一道是所有防線裡性價比最高的。被盜的損失規模，很大程度取決於多久被發現：告警把發現時間從月底對帳那天，提前到超支數小時後（AWS 的預估費用一天內多次送進告警指標，而且只按實際超過門檻觸發，不用當月用量外推；也因為不外推，它只在你已經超支之後才響，不會提前預警）。台灣、香港常見的配置，是一個技術負責人管所有帳號，沒有第二雙眼睛，就用機器盯。告警在帳單主控台裡開，金額自己定，設置本身的費用以官方文檔的說明為準。

數據來源: Amazon CloudWatch User Guide〈Create a billing alarm to monitor your estimated AWS charges〉（預估費用一天內多次送進指標、超過門檻觸發且不做外推），2026-10-03 親自核對。

金鑰紀律那條再多說一句。金鑰等於程式用的密碼，它出現在公開程式碼倉庫、群組聊天、截圖裡的每一次，都算外洩。輪換（定期換新）的用意，就是把「可能已經洩了、還沒被利用」的那組金鑰作廢。防線歸防線，真遇到了，回到上面止損順序那節照著走。

數據來源: AWS re:Post Knowledge Center〈What are the best practices to secure my AWS account and its resources?〉（金鑰與密碼絕不放進公開可存取的程式碼、定期輪換安全憑證、懷疑外洩時先更新金鑰再處理），2026-10-03 親自核對。

分診走完只剩一種情況需要停手：明細裡有叫不出名字的那一行。Telegram 找我，先對止損順序再動手，刪錯一步，減免申請的證據就沒了。機器都叫得出名字卻還在漲的，那是架構在漏，帳單暴增自查那篇有完整的四塊拆解。

數據來源: AWS re:Post Knowledge Center〈What can I do if I notice unauthorized activity in my AWS account?〉（三階段處理流程、金鑰更新後停用不刪除、AWSCompromisedKeyQuarantineV2 隔離政策、全區域檢查、EBS 快照留證、root MFA 與每身分 8 個 MFA 裝置上限），2026-10-03 親自核對。

關於新星雲

被盜之後真正卡人的，是後半段：英文開案怎麼寫、減免怎麼談。這是新星雲接的活，遊戲與直播團隊的雲選型、代訂開通和帳單審計。Telegram 是我唯一的窗口。被盜這種事，我能幫上三件：

• 把三步分診在後台陪著走一遍，對出是自漏還是被盜，順手核一遍帳單裡有沒有別的異常。
• 確認被盜後核止損順序：金鑰先停後刪、全區域掃描、快照留證，環節不能倒。
• 減免申請與安全通報的英文案，送出前替你核一遍措辭。

新星雲沒有業務團隊、沒有客服分層，出事時你連絡上的，就是動手處理的人。

相關閱讀

• 直播 CDN 帳單為什麼暴增？拆成四塊自己查：自漏型暴增的完整對策，兩篇合起來才是「帳單暴增」的全貌。
• 雲端報價單為什麼看不懂？把行話逐行翻譯完，才輪到比單價：帳單明細的行話字典，分診第一步用得上。
• 遊戲伺服器上雲簽約前，老闆最該問自己技術團隊的十個問題：控制權的坑多半開戶那天就埋了，簽約前十問排雷。
• 回到部落格總覽。

FAQ

帳單暴增，怎麼快速判斷是自己的架構漏錢還是帳號被盜？

三步：先看帳單明細按服務和區域排序，暴增的用量落在沒用過的區域、不認識的服務，先往被盜想；再逐區域掃資源清單，有機器沒人認領就是警訊；最後開操作日誌（CloudTrail Event history）對時間線，看陌生的用戶、金鑰、政策是什麼時候出現的。三步都不動資源，先做完再說。

已經在燒錢了，第一個動作是什麼？

把金鑰停用（不是刪除），同時到支援中心回應廠商的異常活動通知，沒收到通知就自己開案。AWS 官方順序是驗證、補救、加固：金鑰先更新（發新金鑰給應用換上）、再停用、確認業務正常後才刪除。第一反應就把機器和金鑰刪光，會把減免申請要用的證據一起刪掉。

被盜刷的錢能要回來嗎？

可以爭取，沒有保證。管道是廠商的支援中心開案，說明哪些用量未經授權，附上時間線、資源截圖、操作日誌這些證據；AWS 官方的帳號被盜應對流程裡本來就有回應通知和開案這步。核不核減、減多少是個案審核，開案之前別刪任何東西，證據留得全案子才立得住。

帳號為什麼會被盜？

最常見的起點是金鑰外洩：提交到公開程式碼倉庫、貼進群組對話、留在截圖裡。掃號是程式自動做的，不看帳號規模，拿到能用的金鑰就開機器挖礦。另一個口子是 root 帳號沒開 MFA。事前四道防線（告警、MFA、金鑰紀律、對帳）裡有兩道直接堵這兩個口子。

事前最便宜的一道防線是什麼？

費用告警。在帳單主控台設一條用量超標通知（AWS 上是 CloudWatch 費用告警或 AWS Budgets 預算通知），金額自己定。被盜的損失規模很大程度取決於多久被發現，告警把發現時間從月底對帳提前到超標當下；比起被盜一晚的帳，這道防線的成本接近零。