台灣電商圈在十月經歷了一場前所未見的連環外洩。91APP 日前公布該次事件的詳細調查報告與補償計畫，承認旗下 Commerce Cloud 的一座訂單資料庫遭入侵，若依最大可能影響範圍認定，波及 1,329 家品牌、479 萬 8,255 名消費者。就在外界還在消化這份報告的同時，日前也 Threads 上也有貼文傳出其他開店平台向商家發出資安通知，表示發現異常存取，部分訂單資料被讀走。
這些事件的時間點重疊得很近，讓單一平台的意外變成了整個 SaaS 開店生態的結構性問題。這篇文章整理目前可查證的事實、各家平台的處置差異，以及商家與消費者現在就能做的具體動作。
一、91APP 從 10 月 4 日的客訴，到 10 月 29 日的道歉
依 91APP 官方資安事件說明頁面、18 天與 25 天調查報告及 10 月 29 日記者會內容，事件時間軸大致如下。
10/3 上午 11 時，攻擊者取得訂單資料庫存取權，91APP 連續 5,025 天的無資安事件紀錄就此中斷。
10/4，首次接獲客戶通報，啟動資安盤查。當時因部分消費者收到詐騙信的資料與 91APP 系統對不上，第一輪內部盤查未發現大規模外流證據，調查方向一度轉向客戶端 ERP。
10/7，單日再接獲 5 家品牌通報，且非 91APP 客戶的品牌也收到類似詐騙訊息，91APP 升高處理層級，擴大盤查外部合作系統。
10/8，成立緊急應變小組，決議委聘外部團隊。隔日確認由奧義智慧科技協助調查。
10/14，外部團隊進駐。在內部 CI 主機發現 10/3 有一支未授權執行緒的執行紀錄，確認破口位置與攻擊軌跡，當晚 11 時確認入侵完全阻斷。
10/15，依《個人資料保護法》向主管機關通報，並開始向客戶初步說明。10/16 發布重大訊息。
10/22、10/29，先公布 18 天調查報告，再公布 25 天調查報告，確認最大可能影響範圍，並宣布補償方案。
根因在報告中寫得很清楚。攻擊者利用一套未及時套用修補更新的第三方工具 Appsmith 的漏洞進入內部網路，接著從內部 GitLab 系統上取得其中一座訂單資料庫的金鑰，直接讀走訂單資料。遭存取的是一座存放 18 個月以內交易資料的短期訂單資料庫。可能遭存取的欄位包含姓名、電話號碼、配送地址（超商取貨者無地址）、電子郵件與訂單紀錄，不含密碼、信用卡與任何支付資料。Marketing Cloud、91APP Payments 與 iCHEF 均不受影響。
所謂最大可能影響範圍，是因為 91APP 無法逐筆判定哪些訂單實際遭竊，因此將 2025 年 4 月 4 日至 2026 年 10 月 14 日期間，在合作品牌官網或 App 成立的所有線上訂單全部納入。91APP 也強調，納入範圍不代表每位消費者的資料均已外洩。對消費者來說，判斷自己是否在名單內的依據就是下單時間加品牌。
補償部分，91APP 表示受影響消費者不論在哪個品牌購物、有無財損，都由 91APP 統一受理，申請期間至 2027 年 2 月 1 日。自 11 月 2 日起，在取得品牌授權後以電子郵件與簡訊主動通知受影響消費者，通知與受理費用均由 91APP 負擔。正式通知來自 91app.com 網域，不會附連結要求輸入資料。防堵措施包括移除受入侵的 Appsmith、更換內部系統權杖、更換資料庫帳號密碼、限制 CI 主機與資料庫網段連線、停用遭冒用帳號並重建 GitLab 權限。
CyberQ 分析，遭入侵的僅是短期訂單資料庫。最重要的信用卡卡號、金融支付資料、密碼，完全沒有外洩。消費者不需要因此去集體換卡或更改密碼，外洩威脅主要集中在詐騙電話與垃圾簡訊。
近期會有許多店家、開店平台陸續要發資安和反詐騙聲明的原因，主要就是因應駭客盜取了前述資料後，會再發詐騙簡訊、電子郵件、電話給用戶，而這些用戶，涵蓋了台灣市場一定程度的電商消費人口，因此各家平台與品牌業者的客戶，多少會有影響到。
二、其他電商開店平台也出現資安說明與相關討論，仍待進一步查證
91APP 資安事件持續受到關注之際，社群平台 Threads 也出現其他電商開店平台疑似發生異常存取的討論。
10 月 30 日，1shop 一頁購物發了近期「定期購／重複訂閱」詐騙信事件說明，承認該公司在 10/28 晚間，收到詐騙信通知，比對後發現信中的姓名、品項、金額與顧客訂單大致吻合，信中的收件地址則是假的。當晚立即替換掉原本用來發送訂單通知信的 Mailgun 金鑰，並陸續完成相關資安處置。
11 月 2 日，Threads 使用者 @lidien.fu 發文指出，CYBERBIZ 商家後台據稱曾發出通知，內容涉及 10 月 31 日晚間發現異常存取，以及部分訂單資料遭讀取。該貼文亦提到，後續通知要求商家提供固定 IP，以便換發新的 API 金鑰。
不過，截至本文撰寫時，上述資訊仍屬社群使用者的公開陳述，無法獨立確認事件實際情況、影響範圍及原因。
另一名 Threads 使用者 @kurtsgm 也發文討論某電商平台的 API 金鑰與會員資料存取問題，但並未明確指出涉及哪一家業者。
從技術角度來看，換發 API 金鑰及限制來源 IP 都是常見的資安防護措施，不能僅憑這些操作，就認定原有金鑰已經外洩，或平台存在特定的資安漏洞。
相關消息仍有待業者正式說明及更多獨立證據確認。對商家而言，無論事件是否屬實，盤點 API 金鑰、確認串接權限及異常存取紀錄，都是值得優先執行的預防措施。
另外，知名的開店平台 SHOPLINE 也有公開的反詐資安聲明，表示經內部排查未發現系統或資安機制異常的證據，近期假冒官方名義的可疑郵件疑似以偽造或拼湊既有資訊包裝而成。
台灣知名的出版社五南出版社也說資料庫被駭，駭客發送詐騙信給客戶和讀者，請大家務必小心。
要提醒的是，由於開店平台多半不是上市櫃公司，沒有發布重大訊息的義務，商家能知道多少，取決於平台願意講多少。
三、為什麼每次都是金鑰出問題
把 91APP 的破口拆開來看，它不是被猜到密碼、也不是資料庫直接對外開放，而是三個環節串起來的結果。未修補的第三方套件 → 內網的 CI 主機與 GitLab → 一把可以開啟訂單資料庫的金鑰。
這正是 2026 年下半年許多資安事件的共同劇本，如果仔細看 2026 年 10 月下旬的幾個重大資安事件可發現，91APP 與 Zeabur 接連遭駭，同月國際上還有 LiteLLM、Railway 出事，損失多半出在放錯地方或沒換掉的金鑰。Zeabur 在不到兩個月內兩度遭駭，第一次攻擊者從路由快取取得一把沒有權限限制、也不會過期的 API 金鑰，再用它拿到長期留存的 AWS root 金鑰。第二次（10 月 14 日至 15 日）攻擊者以外洩的內部憑證與雲端金鑰進入系統，讀取約 322 萬筆環境變數。創辦人林沅霖於 10 月 17 日宣布逐步結束營運，12 月 31 日全面關站。
金鑰的問題通常不是有沒有設，而是四個更難的維運問題。
1、存放位置
寫在程式碼、CI 變數、Wiki 或聊天室訊息裡的憑證，等於內網裡每個人都能撿到。
2、權限範圍
一把能讀整個資料庫的金鑰，和一把只能讀單一資料表的金鑰，出事時的損害差好幾個量級。
3、有效期限
不會過期的金鑰，只要外流一次，就永遠有效。
4、輪替成本
如果換金鑰要停機半天、要找三個部門協調，那麼實際上就不會有人主動去換了說。
四、ARTEX 把「挑對象」變成「掃全部」
91APP 的報告指出，系統內留有 ARTEX 的攻擊痕跡，且攻擊工具鏈與 2026 年 9 至 10 月韓國、日本的同一波 ARTEX 相同。ARTEX 是一套以 AI 驅動的自主滲透測試工具（AI Autonomous Penetration Testing System），由署名 Autumn-27 的中國開發者於 2026 年 7 月在 GitHub 以開源形式發布，能自動尋找漏洞、規劃入侵路徑並執行攻擊。韓國金融業事件曝光後，開發者已於 10 月 8 日宣布閉源並停止維護，原始倉庫下架，但開源期間已累積數百個 fork，備份與英文、韓文在地化版本仍在流通。
這套工具並非只打台灣。10 月 7 日 CrowdStrike 公布韓國金融機構（含新韓銀行等）遭同一基礎設施攻擊，研判攻擊者為中文使用者、以財務動機為主。日本 GMO 網路安全隨後公布約 20 家日本企業被鎖定。10 月 21 日微軟指出，具中國背景的 Storm-0940 自 9 月起也利用 ARTEX 鎖定全球數百個組織。10 月 26 日首爾警方宣布逮捕一名男子，涉嫌利用 ARTEX 入侵逾 90 家企業及機構、竊取約 820 萬筆個資。
換句話說，攻擊者不再需要判斷這家公司值不值得打，而是讓 AI 把暴露面全部掃一遍，誰家門沒關好就進誰家。對中型品牌與中小型平台來說，這種不挑大小的自動化攻擊，比針對性滲透更難防。
五、被駭的是平台，道歉的是品牌
這波事件最現實的一面，是責任的錯位。資料在法律上是由品牌蒐集的，依《個人資料保護法》，消費者要主張權利時，面對的是品牌。客人收到詐騙信時，罵的也是品牌。但真正被攻破的，是平台的資料庫。
《天下雜誌》採訪的品牌電商老闆直言，外洩的是系統商資料庫，站在第一線承受消費者怒氣、退會與商譽損失的卻是品牌，門市、LINE 與官網必須反覆發布防詐公告，「結果 91 居然還要跟我們收費」。91APP 法務主管當時回應收費問題仍在討論妥適做法。直到 10 月 29 日，91APP 才正式宣布通知與受理費用全由其負擔，並承諾統一受理補償。全家、無印良品、康那香、柏文等上市櫃品牌陸續發布重訊，康那香更表明若後續有消費者求償，將同步向 91APP 追償。這些都說明一件事。平台事故的成本如何分攤，必須在簽約時就寫進合約，等出事再談已經來不及。
六、商家現在就該做的七件事
1、發防詐公告
在官網、App、會員信與社群明確說明事件、提醒客人不點信中連結、不依指示轉帳，並附上官方查詢訂單的入口。
2、清楚自己在不在影響名單
向平台索取書面確認（品牌是否在受影響範圍、涉及哪些欄位、通報時程），不要只看平台對外的公開說明。
3、盤點所有 API 金鑰
金流、物流、ERP／POS、CRM、EDM 與簡訊服務商、廣告平台 CAPI、GA／GTM、LINE 官方帳號、客服系統，一項都不能漏。
4、立刻輪替並改用短效憑證
金鑰憑證能換就換，換完確認舊金鑰已失效。新金鑰改為有期限、可撤銷的型式。
5、設定 IP 白名單與最小權限
配合平台要求提供固定 IP，並把每把金鑰的權限縮到「只做它該做的事」。
6、驗證 webhook 簽章、檢查異常呼叫
確認接收端有驗簽，並盯住呼叫量與來源 IP 的異常尖峰。
7、把資安條款寫進合約
事故通報時限、調查報告交付、賠償與通知費用歸屬、資料欄位範圍，都要具體寫明。順便開啟後台 2FA 與登入 IP 限制。
七、消費者這邊，資料是真的，所以更難分辨
這次詐騙信最麻煩的地方，是它帶著真實的訂單資訊。名字、買了什麼、金額、地址都對得上，因此比一般的釣魚信更容易讓人信以為真。實務上的處理原則如下。
信件裡的連結一律先不點，改用品牌官方 App／官網或既有訂單頁查證。
接到自稱客服的電話，講到「分期設定錯誤」、「重複扣款」、「定期購」、「要你去 ATM 操作」時，先掛掉，改撥官網或卡片背面的電話。91APP 與品牌已明確表示不會要求加入私人 LINE、操作 ATM 或提供付款資訊。
留意「物流配送異常」、「包裹二次付款」這類話術，這正是本次外洩欄位（地址、電話、訂單紀錄）最好用的素材。
信用卡與密碼不在這次外洩範圍內，但養成定期檢查刷卡通知與帳單的習慣仍然必要。已轉帳或提供金融資料者，應立即聯絡銀行止付、向警方報案，並向 91APP 提出申請。
平台更換金鑰的速度，決定品牌受傷的程度
91APP 用 5,025 天的無資安事件紀錄，證明他們的實力和嚴謹，但因為近期金鑰事件的不慎，被 AI 自動攻擊工具掃到漏洞，換到一次近 480 萬人的外洩，所幸事件後有積極處理，甚至公開說明補償計畫。
在未來，開店平台的資安能力，可能會成為品牌選擇平台時必須納入評估的核心指標，而非合約末尾的附加條款。
對還在各大開店平台上的許多商家來說，現在能做的就是三件事。把公告發出去、把金鑰盤點完、把合約條款補上。金鑰這種東西，平時看不見，出事時卻是整條供應鏈的總開關，不可不慎。
延伸閱讀
Threads @kurtsgm 與 @lidien.fu 貼文
