內部金鑰如何掀開 1,329 個品牌？91APP 遭駭暴露台灣電商的共用斷點

台灣科技週刊｜資安深度分析
資料查核截至：2026 年 11 月 4 日

台灣電商技術服務商 91APP 在 10 月 29 日公布，旗下 Commerce Cloud 一座訂單資料庫遭非法存取，最大可能涉及 1,329 個品牌、4,798,255 名消費者。這件事重要，因為多數受害者從未直接跟 91APP 打過交道：他們在全家行動購、無印良品官網或 adidas 下單，資料卻一起存在同一家供應商的同一座資料庫裡。

可能外洩的是姓名、電話、配送地址、電子郵件與訂單紀錄。91APP 表示，信用卡資訊與會員登入密碼不在這座資料庫內；公司同時表示無法判定哪些人的資料實際被取走，因此公布的是最大可能範圍，不代表範圍內每個人都確定外洩。

同一個月，台灣新創雲端平台 Zeabur 在不到七週內二度遭駭，隨後宣布年底前停止服務。兩案的技術路徑不同，也沒有證據顯示攻擊者相關，卻指向同一個問題：當大量客戶共用一個平台，一把內部憑證的可達範圍，就是整群客戶的風險範圍。

本刊的核心判斷是：ARTEX 這類 AI 滲透工具縮短了攻擊者找到路徑的時間，卻沒有畫出那條路徑；路徑是防守方自己留下的。 本刊據此提出「三重半徑」框架，以金鑰半徑、資料半徑、責任半徑，判斷一次 SaaS（軟體即服務，企業向供應商租用雲端系統而不自行維運）入侵會擴散到多大。

91APP 遭駭事件到底發生了什麼？

答案是一條四步路徑：未修補的內部工具、內部網路、GitLab 上的金鑰、訂單資料庫。

依 91APP 的事故說明，第三方工具 Appsmith 存在漏洞，公司未及時套用修補更新，攻擊者由此進入內部網路，再從內部 GitLab 系統找到其中一座訂單資料庫的金鑰，最後取得訂單資料。Appsmith 是用來搭建內部應用程式的開發工具；GitLab 則是存放程式碼與相關設定的協作平台。換句話說，真正打開資料庫的不是一個高深的資料庫漏洞，而是一把放在內部系統裡、被人找到的鑰匙。

調查的轉折點在一台內部 CI 主機。CI（持續整合）主機負責自動建置與測試程式，這台機器留有 10 月 3 日一支未授權執行緒的執行紀錄，91APP 由此還原攻擊軌跡。

事後的防堵清單，也反過來說明了事發前的狀態：移除 Appsmith、更換內部系統權杖與資料庫帳密、限制 CI 主機與資料庫網段連線、重建 GitLab 權限。本刊的推論是，至少在網段隔離與金鑰存放這兩處，事發前的控管比現在寬鬆。91APP 尚未公布 Appsmith 的版本與漏洞編號，也未說明攻擊者如何觸及這個工具，本刊不就此推測。

遠見雜誌報導，這座資料庫專門處理近 18 個月內的訂單，所以影響期間落在 2025 年 4 月 4 日至 2026 年 10 月 14 日。91APP 表示 Marketing Cloud、91APP Payments 與 iCHEF 不受影響，這是公司自述。

有一點容易混淆：台灣無印良品估計約 18 萬名會員可能受影響，而同樣在 10 月 30 日公告、最多約 2,726 萬筆的日本 MUJI App 事件是另一起獨立事件，兩者不應混為一談。

為什麼 91APP 花了 10 天才確認遭駭？

因為第一個警報來自詐騙信，不是來自監控系統，而調查又先往外看。

91APP 的時間軸顯示，10 月 4 日首度接獲客戶通報時，消費者收到的詐騙內容與系統資料對不上，通報客戶又使用同一家 ERP（企業資源規劃系統）廠商，於是調查方向轉為協助客戶查 ERP。遠見引述記者會內容指出，初期以外部節點為主要調查對象，資安長事後表示一開始就該內外部同步查。

媒體常用的「11 天」是從 10 月 3 日入侵算到 10 月 14 日定位破口；若從首次通報起算則是 10 天。91APP 的「18 天」「25 天」調查報告，依公布日期推算，則是從 10 月 4 日起算。對品牌與消費者而言，更有意義的是下表最右欄：每一方在第幾天才知道了什麼。

資料日期：截至 2026 年 11 月 4 日。整理自 91APP 公告、遠見雜誌、iThome 與數位時代。

品牌端的落差比這張表更大。工商時報轉載的遠見報導指出，部分品牌 10 月 16 日清晨才接到通知，週末客服電話與粉絲專頁遭消費者灌爆，有品牌暫停雙 11 檔期業務改處理客訴，這部分目前只見單一報導。91APP 則稱 10 月 15 日開始向客戶初步說明，各品牌實際收到訊息的時間顯然不一。上櫃的柏文表示 10 月 22 日獲知此事，台灣無印良品則說是 10 月 29 日接獲通知。董事長何英圻已公開承認，10 月 8 日成立應變小組時就應同步提醒品牌，未這麼做是公司疏失。

詐騙信本身就是這起事件最直接的外溢效果。報導中的話術包括「定期購方案設定錯誤」「訂單重複扣款」「升級 VIP 批發會員」，再誘導收件人操作網路銀行或加入假 LINE 帳號；因為信裡帶著真實姓名、地址與購買品項，可信度遠高於一般垃圾信。

監理端的進度也值得記下。數產署 10 月 20 日公布的四個檢查方向，第三項就是「異常存取能否即時偵測」，若查有違反個資法等規定將依法處理。截至本刊查核日，本刊未查到檢查結論或裁處公告。

ARTEX 是什麼？91APP 真的是被 AI 駭客打穿的嗎？

ARTEX 痕跡是 91APP 的自述，AI 在這起入侵中實際做了多少，目前沒有公開證據能回答。

ARTEX 是中國開發者釋出的開源代理式滲透測試工具，接上大型語言模型後，可由 AI 尋找弱點、規劃路徑並執行攻擊步驟。開發者 10 月 8 日宣布停止更新並轉為閉源，表示工具是為授權測試而設計，並否認涉入濫用。

過去一個月，這個名字在四個地方接連出現，但證據強度並不相同。

資料日期：截至 2026 年 11 月 4 日。

三件事要分清楚。第一，痕跡不等於主導。CrowdStrike 的報告沒有說明自動化與人工操作的比例，Recorded Future 也表示現有證據無法確立 AI 把攻擊加速了多少；南韓金融保安院官員則說，AI 是由駭客指揮，並非獨立行動。

第二，同一工具不等於同一批人。91APP 列舉南韓銀行、約 20 家日本企業與美國逾百家企業網站，說的是「同類工具」；iThome 也指出，這些事件的幕後攻擊者及彼此關聯仍未完全釐清。ARTEX 曾經開源，任何人都可能取得，因此不能從工具直接推論出同一個行動。

第三，也是最重要的，91APP 的破口不是零時差漏洞。零時差指廠商還來不及修補就遭利用的漏洞；而 91APP 自己的說法是「未及時套用修補更新」，代表修補已存在。本刊不質疑其調查發現，但認為「AI 自動化攻擊」與「內部工具沒更新、金鑰放在內部系統」是兩個層次的敘述，前者解釋攻擊為什麼來得快，後者才解釋攻擊為什麼走得通。

「三重半徑」怎麼判斷 SaaS 入侵會擴散多大？

看三件事：一把憑證不靠新漏洞能走多遠，走到的地方存了多少且能否證明沒被拿走，以及出事後要多少方一起承擔。本刊將這三者稱為金鑰半徑、資料半徑與責任半徑。

金鑰半徑量的是橫向移動的代價。91APP 的攻擊者在 GitLab 找到金鑰後，就能碰到跨 1,329 個品牌的訂單庫；品牌之間的區隔在商業上存在，在這把金鑰面前卻不構成障礙。

資料半徑量的是存量與舉證能力。18 個月的訂單留在同一座庫裡，決定了存量；而「無法判定哪些人實際被取走」決定了舉證能力。本刊的推論是，如果查詢稽核細到能回答「哪些品牌的哪些資料被讀過」，480 萬這個上限就有機會縮小。無法證明沒被拿走，就只能全部當成被拿走，這本身就是一筆實際的成本。

責任半徑量的是事後要動員多少人。一家供應商出事，1,329 個品牌要逐一確認、授權、通知，上市櫃品牌還要評估重大訊息，每家客服都要面對同一批憤怒的顧客。

把 Zeabur 放進同一把尺，可以看出這不是單一公司的特例。

資料日期：截至 2026 年 11 月 4 日。Zeabur 數字來自其 10 月 19 日事件初步報告，部分屬公司評估。

Zeabur 的自我揭露尤其值得細讀。它的叢集管理權杖建立於 2024 年 1 月，沒有到期日，8 月事件後的金鑰輪替也沒涵蓋到，公司承認 8 月報告稱內部管理金鑰已全部處理的說法並不完整。至於 8 月外洩與 10 月入侵的關聯，報告明確標為假說，尚無直接證據。另須說明，創辦人解釋關站時也提到成長瓶頸與架構維護難度，並非只歸因於資安事件。

三重半徑的價值，在於它不必等 AI 爭論落幕。如果 ARTEX 在 91APP 案中扮演主角，攻擊者找到長期憑證的時間只會更短，防守方更該縮小半徑；如果它只是配角，那半徑本來就該縮。兩種情況通往同一個結論。AI 代理沒有替防守方創造新的弱點，它只是更快試完所有沒鎖的門。

誰該賠？品牌能把責任都推給 91APP 嗎？

對消費者，91APP 已承諾統一受理；但品牌未必能全身而退，最終分攤要看過失認定與合約。

全家在 10 月 29 日的重訊中表示，目前未接獲會員求償，初步評估無重大影響，但若有會員求償將同步向 91APP 提出；康那香的立場相近。這是品牌把風險往上游推的標準動作，問題在於上游的合約長什麼樣子。工商時報轉載與遠見的報導都提到，舊版合約寫的是造成外洩的一方應承擔損失，現行服務條款則限於故意或過失。品牌若要求償，過失如何認定將是爭點；「未及時修補」與「遲未通知」會不會成為論據，目前沒有任何裁決可循，本刊也不做法律判斷。

個資法第 4 條規定，受委託蒐集、處理或利用個資者，在該法適用範圍內視同委託機關；施行細則第 8 條要求委託機關對受託者為適當之監督，並定期確認執行狀況、留下紀錄。《數位經濟相關產業個人資料檔案安全維護管理辦法》第 19 條進一步要求業者把監督內容明確約定在委託契約或相關文件中；第 8 條則規定，個資安全事故將危及正常營運或大量當事人權益時，業者應於知悉後 72 小時內通報數位發展部，或通報地方政府並副知該部。這份辦法依附表一所列行業適用，其中包括電子購物及郵購業，個別品牌與 91APP 如何歸類，本刊未逐一判定。依這些條文，委外的品牌並不是單純的受害者，也有自己的監督義務，是否盡到目前沒有主管機關認定；而「知悉」從 10 月 4 日的客戶通報還是 10 月 14 日的確認起算，也會是值得觀察的解釋問題，目前本刊未見主管機關見解。

金額是另一個未知數。個資法第 29 條規定，非公務機關違法致當事人權利受侵害須負賠償責任，能證明無故意或過失者除外，計算方式適用第 28 條第 2 至 6 項。其中，被害人不易或不能證明實際損害額時，得請求法院依侵害情節以每人每一事件 500 元以上、2 萬元以下計算；同一原因事實造成多數當事人受害，合計最高總額以 2 億元為限，但所涉利益超過 2 億元者以該利益為限。遠見以這個區間的下限試算：500 元乘上約 480 萬人，總額約 23.99 億元，是 91APP 2025 年稅後淨利 5.09 億元的 4.7 倍；若僅三成申請也約 7.2 億元。但第 28 條第 5 項也寫明，損害總額超過上限時，每人賠償不受 500 元下限的限制。本刊換算，若 2 億元由 4,798,255 人平分，每人約 41.7 元。這兩個數字都只是假設情境下的算術，不是賠償預測，91APP 自願提出的補償方案也不必然受此框架限制。

截至本刊查核日，91APP 尚未公布補償金額，公司表示財務影響仍在評估。

消費者現在該怎麼做？

自行打開 91APP 官網辦理，不要點通知信裡的連結；金額未定，但登記期限已定，到 2027 年 2 月 1 日 23 時 59 分。

如果您在 2025 年 4 月 4 日至 2026 年 10 月 14 日之間，於使用 91APP 系統的品牌官網或 App 下過單，訂單資料就在最大可能範圍內。正式通知自 11 月 2 日起以 @91app.com 網域的電子郵件寄出，沒有電子郵件資料者以簡訊通知。91APP 表示正式通知不會要求點連結填資料、加 LINE、操作 ATM 或提供帳密。

有財損者填「財產損失補償表」，TVBS 整理需備妥報案證明、詐騙訊息或通聯截圖、交易明細與訂單資料；無財損者填「個資損害補償表」，TVBS 指每個有訂單的品牌要各填一份。

這套流程有兩處值得留意。第一，資格卡在品牌授權：91APP 的補償頁寫明，沒收到通知可能代表不在名單，也可能是品牌尚未授權，後者同樣「無法以本頁說明的方式受理」，但可以用電話或電子郵件反映。換言之，消費者能否走這條管道，部分取決於與自己無關的第三方有沒有簽署授權書，這正是責任半徑的具體模樣。第二，聯合新聞網報導，網友批評補償登記使用 Google 表單，等於要外洩受害者再填一次個資。本刊認為，真正的風險在於攻擊者手上有真實訂單資料，又有一個全台皆知的補償名目，假冒補償通知的誘因很高。91APP 也提醒，10 月 14 日後仍收到詐騙訊息，可能是已外流資料被重複使用，不代表再次遭入侵。

台灣企業該從這次事件檢查什麼？

先量自己的三重半徑，而不是先買一套 AI 防禦產品。

平台業者的第一項功課是金鑰半徑：Appsmith 這類內部工具有沒有納入修補盤點，Git 儲存庫裡有沒有生產環境金鑰，CI 主機能不能直接連到資料庫網段，金鑰有沒有到期日，能不能跨客戶讀取。91APP 與 Zeabur 的教訓相同，真正危險的憑證往往不在資安團隊關注的正門，而在開發與維運的內部流程裡。91APP 宣布的零信任架構、最小權限與 AI 異常偵測，方向上也是在做這件事，成效仍待驗證。

第二項是偵測與舉證：沒有客戶抱怨時，大量讀取訂單會不會觸發警報？事後能否回答誰的資料被讀過？兩家公司都是由外部回報才啟動調查，這是本次最值得台灣 SaaS 業者對照的一點。

品牌端則該重新打開委外合約，問四件事：供應商多久內要通知我、我的資料保留多久、和其他客戶如何隔離、事故時我能拿到哪些紀錄。何英圻的道歉點出了關鍵：懷疑階段要不要先告知客戶，應在事前寫進合約，而不是事後由法務與公關即席判斷。

修補速度同樣需要制度保障。Shadowserver 10 月 27 日的統計顯示，全球逾 90 萬個已停止支援的舊版 PHP 實例暴露在公開網路，台灣也有約 1.3 萬個，CISA 同期已把 PHP2Shell 漏洞列入已遭利用清單。當攻擊者能用代理批次掃描，「晚幾週更新」的代價已和過去不同。本刊在〈AI Agent 的安全盲點〉談過企業把權限交給代理時的邊界問題；這次是同一題的反面：當攻擊者也使用代理，內部散落的權限就成了它的地圖。

接下來要看哪三件事？

第一，數產署的行政檢查結論是否公開，尤其是對「異常存取能否即時偵測」的認定，這會成為台灣 SaaS 業者事實上的標準。

第二，奧義智慧科技的調查是否能把「最大可能範圍」縮成實際範圍，以及 91APP 是否公布 Appsmith 版本、漏洞編號與 ARTEX 判定依據。這些資料將決定「AI 攻擊」的說法能被驗證到什麼程度。

第三，補償金額與品牌協商結果。第一個公開數字會成為往後台灣 SaaS 個資事件的參考點；有多少品牌簽署授權，也決定多少消費者真的走得到這條管道。

｜台灣科技週刊

資料與方法說明

本文依據 91APP 官方事件說明與補償頁、數位發展部數位產業署新聞稿、Zeabur 事件報告、CrowdStrike 與 Recorded Future 報告，以及遠見雜誌、iThome、路透社、法新社等報導交叉比對。影響範圍、攻擊路徑、ARTEX 痕跡與「不含信用卡及密碼」均為 91APP 自述，尚未見主管機關或第三方公開驗證。Zeabur 的數字為公司自述，其報告區分確認、評估與假說，本文沿用其保留。

未能確認之處：Appsmith 的版本與漏洞編號；AI 在 91APP 案中的實際參與程度；攻擊者身分；日韓台各案是否相關；非 91APP 客戶也收到類似詐騙的原因；數產署檢查結論；補償金額。微軟 Storm-0940 報告與首爾警方案件依 iThome 整理轉述，GMO 內容依 ISMG 與法新社報導轉述，未直接比對原文。公開資訊觀測站重訊原文未直接比對，依媒體引述。個資法第 4、28、29 條與施行細則第 8 條，已比對個人資料保護委員會籌備處主管法規系統所載條文；《數位經濟相關產業個人資料檔案安全維護管理辦法》第 8、19 條比對法規全文網站與全國法規資料庫的搜尋摘錄，全國法規資料庫與數位發展部法規系統頁面本次未能直接開啟，附表一行業依台灣網路暨電子商務產業發展協會整理。雙 11 檔期受影響的說法僅見單一報導。

賠償金額的計算為假設情境下的算術，不構成法律意見或賠償預測。本刊未對任何系統進行實測，也未就本案獨立採訪當事人。「三重半徑」為本刊提出的分析框架，不是業界標準。

參考資料

1. 91APP，〈91APP 遭受駭客攻擊事件說明與後續補償計畫〉，2026-10-29。
2. 91APP，〈消費者個資損害補償與通知說明〉，2026-10-29。
3. 數位發展部數位產業署，〈91APP電商平台資料庫遭未授權存取，數發部啟動行政檢查，釐清個資影響範圍〉，2026-10-20。
4. 遠見雜誌（曾子軒、廖君雅），〈資安風暴》91APP個資外洩為何11天才找到破口？補償與改善一次看〉，2026-10-30。
5. iThome（羅正漢），〈91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例〉，2026-10-23。
6. iThome（羅正漢），〈臺灣無印良品受91APP遭駭事件波及，訂單資料外洩規模初估影響會員約18萬人，實體門市購物紀錄不受影響〉，2026-11-02。
7. iThome（周峻佑），〈全家行動購部分會員資料遭非法擷取，起因是委外廠商91APP資料庫遭自動化攻擊〉，2026-10-30。
8. iThome（張明德），〈【資安日報】10月27日，91APP遭駭事件查出ARTEX攻擊痕跡，顯示不只日韓，臺灣也出現相關攻擊案例〉，2026-10-27。
9. iThome（羅正漢），〈中國駭客Storm-0940利用自主AI框架ARTEX發動大規模攻擊，並藉ConnectWise憑證滲透企業雲端〉，2026-10-27。
10. 自由財經，〈91APP資安事件影響479.8萬消費者 董座鞠躬道歉〉，2026-10-29。
11. 工商時報（遠見雜誌授權），〈91APP遭駭、為何品牌先挨罵？電商老闆吐苦水 詐騙信風暴始末一次看〉，2026-10-25。
12. 數位時代，〈91APP電商平台遭駭！多家品牌顧客收「定期購」詐騙信，CAFE!N、快車肉乾⋯都中招〉，2026-10-22。
13. 民報（江星翰，Yahoo新聞轉載），〈電商個資風暴1》480萬人恐受波及！全家、無印良品中招 91APP賠償壓力升高〉，2026-11-01。
14. 今周刊（陳彥澐整理），〈91APP資料庫遭駭！寶雅、adidas、無印良品、全家…1329個品牌，密碼、信用卡資料安全嗎？補償方式一次看〉，2026-11-02。
15. TVBS，〈91APP個資外洩補償怎麼領？沒被騙也能登記！申請步驟與受害品牌整理〉，2026-11-02。
16. 聯合新聞網，〈91APP被駭教你「補償申請」！網見Google表單狂轟：資安真的0分〉，2026-11-03。
17. Musk-IS，〈91APP 資安事件懶人包：品牌商該做的 5 件事〉，2026-11-03 更新。
18. Zeabur，〈Zeabur October 2026 security incident (preliminary report)〉，2026-10-19。
19. 數位時代，〈Zeabur兩度遭駭後宣布停運！12月31日全面關站，備份、退款時程一次看〉，2026-10-19。
20. CrowdStrike，〈Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance〉，2026-10-07。
21. Infosecurity Magazine（James Coker），〈Chinese Hacker Deployed AI in Campaign Against South Korean Banks〉，2026-10-08。
22. Recorded Future，〈TAG-217 Targets South Korean Financial Services with ARTEX〉，2026-11-04 查閱。
23. 路透社（The Star 轉載），〈South Korea finds hacking incidents at total of 16 financial firms〉，2026-10-14。
24. ISMG／BankInfoSecurity（Pooja Tikekar），〈AI Tool Artex Surfaces in Attacks on Japanese Companies〉，2026-10-21。
25. 法新社（The Korea Times 轉載），〈Chinese AI tool behind cyberattacks in Japan: security firm〉，2026-10-20。
26. 個人資料保護委員會籌備處主管法規共用系統，〈個人資料保護法〉，2026-11-05 查閱。
27. 個人資料保護委員會籌備處主管法規共用系統，〈個人資料保護法施行細則〉，2026-11-05 查閱。
28. 法律人 LawPlayer，〈數位經濟相關產業個人資料檔案安全維護管理辦法〉，2026-11-05 查閱（112 年 10 月 12 日發布，全國法規資料庫頁面為 https://law.moj.gov.tw/LawClass/LawAll.aspx?PCODE=K0010162 ）。
29. 台灣網路暨電子商務產業發展協會，〈數位經濟個資管理辦法上路 業者應於3個月內完成安全維護計畫〉，2023-10-18。