91APP 資安事件懶人包：品牌商現在該做的 5 件事

2026/10/26 資安新聞 14 次瀏覽閱讀約 6 分鐘

91APP 資安事件是指電商技術服務業者 91APP 的 Commerce Cloud 一座訂單資料庫，在 2026 年 10 月 3 日遭入侵，部分訂單資料被非法存取，許多品牌的消費者因此收到載有真實訂單內容的詐騙訊息。數位發展部數位產業署已在 10 月 19 日進行行政檢查，實際受影響的人數與資料範圍仍在調查中。

對使用 91APP 或其他電商 SaaS 平台的品牌商來說，這起事件的重點不只是平台被駭，而是消費者會先找品牌、法律上品牌也有監督受託者的責任。下面整理事件經過、法律責任與品牌商現在能做的事。需要協助檢視委外契約與通報流程，可參考我們的個資法顧問服務。

資訊截至 2026 年 10 月 26 日。91APP 表示將於下週公布受影響範圍，本文會隨官方資訊更新。

91APP 資安事件經過：時間軸

依 91APP 公布的調查報告與數產署新聞稿，91APP 資安事件從入侵到對外公告相隔 13 天：

日期	經過
10 月 3 日	內部持續整合（CI）主機出現未授權執行紀錄，訂單資料庫遭存取
10 月 4 日	91APP 首次接獲客戶通報消費者收到可疑訊息
10 月 8 日	通報增加，成立緊急應變小組並決定委外調查
10 月 14 日	確認遭入侵，當晚 11 時完成阻斷
10 月 15 日	通報主管機關並通知品牌客戶
10 月 16 日	在公開資訊觀測站發布重大訊息
10 月 19 日	數產署邀集資安院與專家到場行政檢查
10 月 22 日	公布「18 天調查報告」，董事長承認未及早提醒品牌是公司疏失

91APP 表示，遭存取的是訂單資訊，不含信用卡等支付資料，Marketing Cloud、91APP Payments 與 iCHEF 未受影響。部分品牌向媒體表示，詐騙信中出現消費者的姓名、電話、地址與購買商品。

駭客怎麼進來的？

根據調查報告，入侵起點是內部使用的第三方工具 Appsmith 有漏洞卻未及時修補；攻擊者進入內部網路後，從 GitLab 取得一組資料庫存取金鑰，再存取訂單資料庫。91APP 也表示在系統中發現 ARTEX 這類 AI 自動化滲透工具的痕跡。

三個破口都很常見：內部工具被當成「不對外」而延後更新、金鑰寫在程式碼儲存庫、開發測試主機能直接連到正式資料庫。

91APP 事後已移除該工具、更換權杖與資料庫帳密、重建 GitLab 權限，並限制 CI 主機與資料庫網段的連線。這是典型的供應鏈攻擊情境：攻擊者沒有碰品牌的系統，卻拿到了品牌客戶的資料。

91APP 資安事件入侵路徑，從未修補工具、程式碼儲存庫金鑰到訂單資料庫 — 未修補工具成為入口

品牌商有什麼法律責任？

品牌委託平台處理會員與訂單資料時，平台依個資法第 4 條在適用範圍內「視同委託機關」，但品牌仍是委託方，要負監督責任。個資法施行細則第 8 條要求委託機關對受託者為適當之監督，並定期確認執行狀況、記錄結果。

監督至少包括：資料的範圍與目的、受託者的安全措施、是否複委託、受託者違規時應通知委託方的事項與補救措施、委託結束後的資料返還與刪除。屬於電子購物業等數位經濟相關產業的品牌，該產業的個資安全維護管理辦法第 19 條更明定，這些監督內容要寫進委託契約或相關文件。

換句話說，主管機關檢查時，除了平台的防護，也可能問品牌：契約有沒有約定事故通知？有沒有定期確認平台的安全措施？

品牌商現在該做的 5 件事

不論是否已收到 91APP 通知，使用電商 SaaS 平台的品牌都可以先做這五件事：

確認自家資料是否受影響：向平台書面索取受影響的期間、欄位與筆數，並保留往來紀錄。
通知消費者並防詐：以電子郵件、簡訊或官網公告提醒消費者，品牌不會要求操作網銀或取消自動扣款，並提供客服查詢管道與 165 反詐騙專線。
判斷自家的通報義務：數位經濟相關產業的業者，事故危及正常營運或大量當事人權益時，須在知悉後 72 小時內通報數位發展部；上市櫃品牌另依規定評估是否發布重大訊息。流程可參考資安事件通報的整理。
檢查契約條款：確認事故通知時限、責任分擔、稽核權與資料刪除是否寫進契約；沒有的，趁這次續約或增補條款補上。
留下監督紀錄：把這次的詢問、平台回覆與內部決策寫成紀錄，作為施行細則第 8 條「定期確認並記錄」的佐證。