91APP 被駭深度解析：一個沒更新的內部工具，怎麼牽動數十個品牌的「定期購」詐騙風暴？

「您的『定期購』方案已成立，若非本人操作請立即取消。」

10 月初開始，很多人收到這樣的信。可怕的是，信上寫著你的姓名、電話、地址，還有你真的買過的東西，看起來跟品牌官方寄的一模一樣。點進去，就是假客服、假 LINE 帳號，要你操作網銀「取消扣款」。（數位時代、遠見）

這些資料的源頭，是台灣電商 SaaS 平台 91APP。很多品牌的官網和購物 App 都是用它架的，包括 adidas、ASICS、CAFE!N、快車肉乾、全家行動購等數十個品牌。10 月 3 日，91APP 其中一座訂單資料庫被 AI 自動化工具入侵；10 月 14 日深夜才確認完全阻斷；10 月 16 日才發布重大訊息。（91APP 調查報告）

我是熊董，台灣川輝科技。這篇是深度解析：每一段先用白話講，技術細節放在「給工程師」的小段落。所有日期和數字都來自 91APP 官方報告或新聞，文內附上來源。

先講結論：依 91APP 自己公布的調查報告，攻擊者的入口是一套「沒有更新的內部工具」，資料庫的鑰匙則是在存放程式碼的系統裡找到的，現場還發現 AI 自動化攻擊工具的痕跡。從入侵到確認阻斷是 11 天，從第一位品牌回報到公開說明是 12 天。外洩筆數與受影響人數還在數位發展部指導下查核。這件事對所有用平台做生意的老闆都是提醒：平台出事時，客人最先找的是你；你的客戶資料放在哪、誰在顧、出事時多快會通知你，值得現在就弄清楚。

---

一、30 秒看懂：用一間代管倉庫來比喻

想像 91APP 是一間幫很多品牌代管倉庫的公司：

• 每個品牌（店家）把客人的訂單資料——姓名、電話、地址、買了什麼——放在這間公司的倉庫裡。
• 倉庫公司的員工，平常用一套內部小工具處理雜事。這套工具很久沒更新，門鎖有瑕疵。
• 公司還有一個放設計圖和工作文件的櫃子（程式碼管理系統），裡面夾著一張倉庫大門的鑰匙。

小偷（而且是一台會自己找門的 AI 機器人）從那套沒更新的小工具進到辦公室，在文件櫃裡找到倉庫鑰匙，打開其中一間放訂單的倉庫，把資料抄走。

接著，小偷拿著「誰買了什麼、住哪裡」的清單，假冒各個品牌寫信給客人：「您的定期購已成立，要取消請照這個步驟操作。」

客人當然會信——因為信上的東西全都是真的。

---

二、91APP 是什麼？為什麼一家出事，幾十個品牌受害？

91APP 成立於 2013 年、2021 年上櫃，是台灣電商軟體服務（SaaS）的代表公司：品牌不用自己寫系統，向 91APP 租用一整套官網、購物 App、會員、訂單與金流功能。（數位時代）

這種模式的好處是快、省心；風險是所有品牌的資料集中在同一個平台。平台一出事，就是一次打到幾十個品牌。

《遠見》整理已知受影響或發出防詐公告的品牌，包括全家行動購、adidas、ASICS、Columbia、CAFE!N、快車肉乾、PAUL & JOE、ELEMIS、康軒親子網、相信音樂等數十家；上櫃公司滿心 munsin 也為此發了重大訊息。（遠見）自由時報報導中也提到 MUJI 無印良品、寶雅。（自由時報）

---

三、攻擊怎麼發生？時間線

依 91APP 10 月 22 日公布的 18 天調查報告：

日期	發生什麼事
10/3 11:00	一座訂單資料庫遭 AI 自動化滲透工具攻擊、被非法存取
10/4	第一次接到品牌通報：消費者收到詐騙訊息
10/6	與該品牌一起分析，無法認定詐騙資料的來源
10/7	單日再接到 5 家品牌通報，升級核查
10/8	成立緊急應變小組，決定找外部資安團隊
10/9	確認委託奧義智慧科技
10/10	專案啟動，連假期間擴大全系統盤查
10/14	外部團隊上午進駐，當晚找到破口，晚間 11 點確認入侵完全阻斷
10/15	依個資法通報主管機關，向品牌客戶說明
10/16	發布重大訊息，評估「對公司營運無重大影響」
10/19	數位發展部到 91APP 進行現場行政檢查，列為重大矚目案件
10/22	公布調查報告，承諾補償因此受騙而有財產損失的消費者

（91APP 調查報告、聯合報、自由時報、遠見）

被打進來的路徑

白話版：

1. 91APP 內部有一套員工用的效率工具（Appsmith），沒有更新。
2. 攻擊者從這裡進到公司內部網路。
3. 在公司存放程式碼的系統（GitLab）裡，找到資料庫的鑰匙。
4. 用這把鑰匙，打開訂單資料庫。

給工程師：

• 初始入口：未修補的內部低程式碼工具 Appsmith，取得內網立足點。
• 憑證取得：從 GitLab 取得資料庫連線憑證（secrets 存放於版本控制或 CI 設定中）。
• 目標：Commerce Cloud 其中一座訂單資料庫。
• 主機上發現 ARTEX 等 AI 自動化攻擊工具的痕跡。
• 91APP 的修補：移除該內部工具、更換所有內部系統權杖與資料庫帳密、重建 GitLab 權限、隔離測試與正式環境、限制主機與資料庫網段連線、關閉資料庫對外連線、停用遭冒用帳號。

（91APP 調查報告）

ARTEX 這個名字，最近在日本和南韓都出現過：原本是用 AI 做資安測試的工具，被駭客拿去濫用，日本這個月有數十家企業受害。（科技新報）

---

四、被拿走什麼？有多嚴重？

官方說的

• 外洩的是訂單資訊，不包含信用卡等支付工具資料。
• Marketing Cloud、91APP Payments、iCHEF 不受影響。
• 外洩筆數、受影響的品牌數與消費者數尚未公布，在數發部指導下查核中。

（聯合報）

實際上發生的

• 詐騙信上出現消費者的姓名、電話、Email、地址、購買商品。（遠見、數位時代）
• 外洩時間範圍各方說法不一：91APP 一開始說影響近半年的資料，但有品牌比對後發現 2025 年的歷史訂單也可能外洩；另一個品牌收到的說明是最近兩個月。（遠見）

沒有信用卡，為什麼還是很嚴重？

因為詐騙要的從來不是你的卡號，而是讓你相信。一封寫著你真名、真地址、你上週真的買過的商品的信，比任何話術都有說服力。詐騙集團再用「定期購設定錯誤」「訂單重複扣款」「升級 VIP 會員」這些理由，引導你加假 LINE、操作網銀——錢是你自己轉出去的。

---

五、品牌的處境，與 91APP 的說法

這是這次事件裡爭議最大的地方，兩邊的說法都整理在這裡。

品牌端

• 消費者只認得品牌。 他們不知道什麼是 91APP，收到冒名信就去品牌的粉專、客服罵。週末客服電話、粉專訊息被灌爆。
• 時間差。 從 10/4 第一位品牌回報，到 10/16 公開說明，中間 12 天。有電商業者說，10/16 之前 91APP 的窗口還因為別的事聯絡過他，卻沒提到被攻擊，品牌因此失去應變時間。
• 雙 11 前夕。 有品牌暫停檔期活動，改把人力拿去回客訴、自己蒐證、檢舉假帳號。
• 權限在平台手上。 一位電商負責人說，系統權限都由平台掌控，「連開個 API 都要收高額系統費」，出事時卻是品牌自己發公告、自己道歉。

（以上整理自 遠見）

91APP 端

• 調查報告說明：10/4 接到第一位品牌通報後，10/6 與品牌一起分析，當時無法認定詐騙資料的來源；10/7 再接到 5 家品牌通報後升級核查，10/8 成立應變小組、決定委託外部團隊，10/14 找到破口並阻斷。
• 報告也坦承：防護與修補管理沒有跟上攻擊速度，是必須檢討的地方。
• 10/17 在 Threads 向品牌客戶與消費者致歉；10/22 公布調查報告，承諾補償因此受騙而有財產損失的消費者，並與各品牌個別商議受影響會員的補償。
• 重大訊息中評估「對公司營運無重大影響」，這句話後來也成為品牌不滿的焦點之一。

（91APP 調查報告、數位時代、天下雜誌）

法律與監管

律師林國清也提醒：通知延遲可能成為法院認定業者違反通知義務的證據；依個資法第 29 條，消費者即使沒被騙成功，也可能請求損害賠償，但要證明資料確實是從該平台流出的。另有業者指出，系統服務商的合約通常訂有「第三方攻擊責任限制」條款。數位發展部則表示已將本案列為重大矚目案件、啟動現場行政檢查，未改善將依法裁罰。（遠見）

---

六、消費者：現在該怎麼自保？

1. 三不：不點不明連結、不加陌生 LINE、不照指示操作 ATM 或網銀。
2. 就算信上的資料全對，也不代表是真的。 一律自己打開品牌官網或 App 查訂單，不要從信裡的連結進去。
3. 已經輸入卡號或簡訊驗證碼：立刻打給發卡銀行，並撥 165 反詐騙專線。
4. 因此被騙而有財產損失：91APP 已開放登記補償，電話 (02) 7723-1622、Email servicetw@91app.com；正式申請流程待公布。

（數位時代、自由時報、91APP 調查報告）

---

七、品牌老闆：這週該做的事

不管你是不是 91APP 的客戶，這些都值得做：

1. 主動發防詐公告。 官網、粉專、會員信都發，講清楚「我們不會要求你操作網銀、不會用私人 LINE 聯絡你」。早發，比被客人罵了再發好。
2. 準備客服回覆範本。 讓第一線知道怎麼回答、怎麼引導客人報 165、怎麼登記補償。
3. 跟平台要資料。 你的客人有哪些資料外洩、時間範圍多長、哪些客人受影響——白紙黑字問清楚，再決定要不要逐一通知。
4. 翻出合約看三件事：資安事件的通知時限、責任與賠償條款、資料能不能完整匯出。
5. 盤點你的客戶資料放在哪些系統。 電商平台、CRM、行銷工具、表單、外包做的系統……每一個都是可能的出口。
6. 評估資料最小化。 不需要的資料不要留，過期的訂單資料定期清掉——沒存的東西，就不會外洩。

（參考 Peakstar、遠見）

---

八、這兩週，台灣和全球同時發生的事

91APP 不是單一事件。把這兩週放在一起看：

事件	入口在哪	共同點
91APP（10/3）	一套沒更新的內部工具；資料庫鑰匙放在程式碼系統裡	鑰匙放錯地方、工具沒更新
Zeabur（8/27、10/14）	一把兩年沒換、明文存放的管理員鑰匙	鑰匙放錯地方、沒換
Railway（10/21）	存放客戶金鑰的系統被入侵	平台被打，客戶要自己換鑰匙
PHP2Shell（10/21）	全球七成網站用的程式語言本身有洞	沒人更新，就一直開著
ARTEX（10 月）	駭客用 AI 工具大量自動掃描	攻擊越來越便宜、越來越快

我們另外寫了兩篇：Zeabur 倒了怎麼辦？台灣部署平台關站深度解析、PHP2Shell 深度解析：PHP 漏洞到底有多嚴重？

趨勢科技的洪偉淦說得很直接：AI 讓駭客能快速自動化攻擊，而 SaaS 平台因為集中管理大量資料，特別容易成為目標。（遠見）

---

九、給老闆的三個教訓

1. 被打進來的，常常不是「主系統」，而是沒人顧的小工具

依 91APP 的報告，入口是一套內部效率工具，不是對外的電商系統本身。很多公司都有這種東西：某個員工裝的後台工具、測試環境、幾年前做的小系統。沒人在更新的東西，就是最好的入口。

2. 鑰匙放在哪，決定小偷能走多遠

91APP 的資料庫鑰匙放在程式碼系統裡；Zeabur 的萬能鑰匙用明文存在設定檔裡。進門是第一步，找到鑰匙才是災難的開始。密碼、金鑰要放在專門的保管系統，而且權限要切開——一把鑰匙只開一扇門。

3. 你用的平台出事，面對客人的是你

用 SaaS 不是錯，自己寫系統也有自己的風險。但不管用哪一種，你都要知道三件事：你的客戶資料在哪裡、誰在顧、出事時多快會通知你。 這些答案，應該在簽約時就寫進合約，而不是出事後才問。

---

十、還沒有答案的部分

截至 10 月 23 日，有幾件事還沒有公布，判斷時要保留空間：

• 外洩的資料筆數、受影響的品牌數與消費者數。
• 外洩資料的完整時間範圍（各品牌收到的說明不一致）。
• 消費者補償的正式申請流程。
• 數位發展部行政檢查的結果。

91APP 表示會再更新受影響範圍與改善進度，後續以官方與主管機關公布為準。

---

川輝平常怎麼做？

我們做的是客製系統與系統維護，這次的事件剛好就是我們每天在處理的事：

• 追更新：PHP、Node.js、各雲端平台和政府資安單位的公告，一發布就評估影響、排升級、升完驗證。這一週 PHP2Shell 和 Node.js 的安全更新，我們都是當晚或隔天就處理完。
• 顧小工具：除了主系統，後台工具、測試環境、舊系統也要列進清單，一樣要更新、不用就關掉。
• 管鑰匙：系統用到的密碼和金鑰放在哪、誰能存取，是維護工作的一部分；平台一發出資安通知，就先盤點、該換就換。

沒有任何系統能保證百分之百不會被攻擊。我們能做的，是讓這些事有人一直在做。

需要盤點或檢查？可以找我們

不管系統是不是川輝做的，都可以找我們協助：

• 盤點：你的客戶資料放在哪些系統、哪些平台，鑰匙在哪裡、誰能存取。
• 檢查與升級：找出沒在更新的工具和系統，升到安全版本；把寫在程式碼或設定檔裡的密碼搬到正確的地方。
• 搬家與重構：平台不再適合、或原廠商不維護了，評估哪些能留、哪些要重做，分段處理不中斷營運。

不確定從哪裡開始，先預約 30 分鐘免費診斷。

---

常見問題

91APP 發生了什麼事？

91APP 是台灣電商 SaaS 平台，2026 年 10 月 3 日其 Commerce Cloud 一座訂單資料庫遭 AI 自動化滲透工具入侵，10 月 14 日晚間確認完全阻斷，10 月 16 日發布重大訊息。攻擊者從一套未更新的內部效率工具（Appsmith）進入，再從 GitLab 取得資料庫金鑰。數十家使用 91APP 的品牌顧客收到冒名的「定期購」詐騙信。

外洩了哪些資料？信用卡會不會被盜刷？

依 91APP 說明，外洩的是訂單資訊，不包含信用卡等支付工具資料。但詐騙信上出現了消費者的姓名、電話、Email、地址與購買商品，詐騙集團利用這些真實資料取信消費者，引導操作網銀或加入假 LINE。外洩筆數與受影響人數仍在數位發展部指導下查核。

收到「定期購」詐騙信怎麼辦？

不點連結、不加陌生 LINE、不照指示操作 ATM 或網銀。就算信上資料正確，也要自己打開品牌官網或 App 查證。若已輸入卡號或驗證碼，立即聯絡發卡銀行並撥打 165 反詐騙專線。

被騙了可以求償嗎？

91APP 表示，對經確認因本事件遭詐騙而有財產損失的消費者提供全面補償，已開放登記（電話 02-7723-1622、Email servicetw@91app.com），正式申請流程待公布。

為什麼是品牌在處理客訴？

消費者只認得品牌，收到冒名信就會找品牌客服。從第一位品牌回報到 91APP 公開說明相隔約 12 天，品牌在這段期間承擔了客訴與商譽壓力。部分品牌在雙 11 前夕暫停檔期活動處理客服。

用 SaaS 電商平台還安全嗎？

SaaS 平台集中管理大量資料，是攻擊者喜歡的目標，但自建系統同樣需要持續維護與更新，並不會自動比較安全。重點是知道客戶資料在哪、平台的資安與通知責任寫在合約哪裡、資料能否完整匯出，並且主動做好防詐公告與客服準備。

---

資料來源

官方

• 91APP：2026 遭受駭客攻擊事件 18 天調查報告：https://91app.com/blog/91app-202610-security-incident/
• 91APP：Commerce Cloud 資料庫受到自動化攻擊事件說明：https://91app.com/blog/91app-202610-security/

新聞與分析

• 遠見：91APP 詐騙信風暴始末：https://www.gvm.com.tw/article/133880
• 數位時代：多家品牌顧客收「定期購」詐騙信：https://www.bnext.com.tw/article/92706/91app-database-attack-scam-emails
• 自由時報：數發部展開行政調查：https://3c.ltn.com.tw/news/67995
• 聯合報：91APP 公布階段調查、承諾補償：https://udn.com/news/story/7240/9832450
• 天下雜誌：電商老闆扛消費者怒火：https://www.cw.com.tw/article/5143354
• iThome：多家合作品牌示警：https://www.ithome.com.tw/news/179872
• 科技新報：ARTEX 遭濫用：https://infosecu.technews.tw/2026/10/20/chinese-ai-tool-artex-abused-multiple-japanese-companies-attacked/
• Peakstar：91APP 與 Zeabur 資安事件：https://www.peakstargroup.com/2026/10/17/91app-zeabur-security-incidents-lessons/