電商資安事件懶人包：1shop、Cyberbiz、meepShop 與莫筆克，商家現在該查什麼？

電商資安事件是指 2026 年 10 月底起，繼 91APP 之後，1shop、莫筆克（MALLBiC 雲端小幫手）、Cyberbiz 與 meepShop 等台灣電商服務業者，由業者或品牌商陸續公告的資料安全事件。到目前為止，各家的實際影響範圍都還在調查，能確認的程度也不一樣。

商家最需要的不是再看一次新聞，而是判斷自己用到的服務有沒有牽連、該向誰要什麼資料。下面分開整理已公開的說法，並列出要查的項目與法律責任。需要協助檢視委外契約與事故流程，可參考我們的 個資法顧問 服務。

資訊截至 2026 年 11 月 5 日。本文會隨各業者的後續公告更新。

電商資安事件時間軸：10 月底到 11 月初發生了什麼？

這波事件接在 91APP 資安事件 之後，從 10 月 28 日起約一週內，至少有四家電商服務業者被點名。以下日期依業者公告與公開資訊觀測站重大訊息整理：

目前沒有公開證據顯示這幾起電商資安事件出自同一批攻擊者。91APP 曾發現 AI 自動化滲透工具 ARTEX 的痕跡，但 iThome 11 月 4 日報導指出，其他業者是否涉及類似手法仍待調查。

各業者目前確認到哪裡？

這幾起電商資安事件的確認程度差很多：1shop、莫筆克與 Shopline 是業者自己公告，Cyberbiz 與 meepShop 目前主要來自品牌商轉述。判斷自己有沒有受影響時，要先分清楚這一點。

表中的「未涉及」都是當事業者或品牌的說法，尚無第三方調查報告佐證。

為什麼郵件服務、ERP 與 API 金鑰會變成破口？

因為這些服務為了完成工作，都持有訂單資料或取得資料的權限，攻擊者不必進入開店平台，一樣能拿到消費者資料。這就是 供應鏈攻擊 在電商業的樣子。

1shop 的情況是郵件服務。公告指出，發送通知信的 Mailgun 金鑰是系統一直沿用的金鑰，若被他人取得就能讀取通知信內容，而這些內容原本在 Mailgun 保存 7 天。通知信一旦被保存，就等於多了一份訂單資料副本。

莫筆克的情況是 ERP。該公司表示攻擊由品牌官網服務入口進入，影響範圍卻可能包含店家從其他平台匯入的資料。莫筆克官網列出可同步超過 18 個電商平台，包括蝦皮購物、momo、91APP 與 Shopline；這不代表那些平台遭入侵，而是提醒商家：多平台訂單集中到 ERP 後，ERP 出事的影響會跨平台。

詐騙信可以幫你反查資料來源

收到顧客轉來的詐騙信時，先別只當客訴處理。信裡的欄位是追查外洩來源最直接的線索。

1shop 就是這樣推論的：詐騙信上的「首次訂購日期」不是訂單成立時間，而是晚幾秒的通知信寄出時間，品項寫法也和通知信相似；信中的收件地址是假的，有顧客回報的電話則是資料庫裡沒有的舊號碼。91APP 的調查也用過類似比對，iThome 報導指部分詐騙信內容與其系統資料不符，卻與通報客戶共用的 ERP 資料吻合，只是後續確認的破口在 91APP 內部。

實務上，可以把幾封詐騙信拆成欄位，逐一對照開店平台、ERP、郵件與簡訊服務各自有哪些資料、格式如何寫，例如品項名稱的寫法、時間的精度、有沒有特定代碼。這個方法無法證明誰被入侵，但能幫你決定先問哪一家，也是向業者要求說明時最具體的依據。

商家現在該查什麼？

先列出自己實際用到的服務，再按類型檢查；沒被業者點名，也不代表可以跳過。下表是實務上建議的起點，不是法定清單。

向業者詢問時，用書面一次問清楚，回覆也才能當作監督紀錄：

1. 我方資料是否在受影響範圍內，涉及的欄位、期間與筆數。
2. 目前結論是已確認遭存取，或只是無法排除。
3. 事件發生與發現的時間，以及破口修補狀況。
4. 我方需要更換的金鑰或帳號，與舊金鑰失效時間。
5. 是否有第三方調查，完成後能否提供報告摘要。

更換金鑰是必要動作，但不是終點。果果能量在公告中講得很直接：這項措施無法收回先前可能已被取得的資料。所以防詐通知不能等換完金鑰才發，也不必等調查結論出來。

平台說沒被入侵，品牌還有責任嗎？

有。平台沒被入侵，只代表破口不在平台；商家如果自行委託 ERP 或其他服務處理消費者資料，監督受託者的責任起點就在商家自己。

Shopline 向 iThome 表示，該公司與商家選擇的 ERP 業者沒有直接合約關係，是商家依需求自行簽約，平台只提供 API 串接。依個資法第 4 條，受託者在適用範圍內視同委託機關；施行細則第 8 條則要求委託機關對受託者適當監督，並定期確認、記錄執行狀況。換句話說，這份 ERP 契約裡有沒有事故通知、資料刪除與稽核條款，要由商家自己回答。

通報義務則看品牌所屬產業。數位經濟相關產業的辦法規定，事故危及正常營運或大量當事人權益時，須在知悉後 72 小時內通報數位發展部；零售業、製造業及技術服務業也有各自的辦法與 72 小時通報規定，適用門檻不同。

葡萄王的重大訊息是上市櫃品牌的參考範例：組成應變小組、以官網與簡訊提醒消費者、通報主管機關，並表明遭求償時將要求廠商負責。詳細流程可參考 資安事件通報 的整理。

我們的看法是，這波事件之後，「沒有收到通知」不應再被當成沒事。說不清楚自己串接了幾個服務，才是下一次事故時最大的時間成本。

電商資安事件之後，這週先做哪三件事？

第一，今天就發防詐提醒，寫明品牌不會要求操作 ATM、網銀或加入陌生 LINE，並公布唯一的官方客服帳號。第二，把用到的開店平台、ERP、郵件、簡訊與 API 串接列成一張表，對每一家送出上面的書面問題。第三，若已有顧客收到詐騙信，參考 個資外洩怎麼辦 的處理順序，開始保留證據、判斷通知與通報。

若想確認委外契約與事故程序是否撐得住下一次事件，可以了解我們的 個資法合規 服務，或 先請顧問看一下現況。

電商資安事件常見問題

Cyberbiz 外洩了嗎？

目前無法斷定。葡萄王在重大訊息中表示，接獲委外廠商順立智慧（Cyberbiz）通知，其資料庫部分資料遭未經授權之異常存取，但尚無法釐清相關資料是否受到影響及其範圍。截至 iThome 11 月 4 日報導截稿，Cyberbiz 尚未回覆查證，使用該服務的商家應直接向業者書面確認。

換了 API 金鑰就沒事了嗎？

不算。更換金鑰可以阻止舊金鑰繼續被使用，但無法收回先前可能已被取得的資料。商家換完金鑰後，仍要確認舊金鑰何時失效、期間有哪些存取紀錄，並持續提醒消費者防範詐騙，也要檢查其他串接服務是否使用同一組憑證。

消費者收到詐騙信怎麼辦？

不要點擊連結、加入信中的 LINE 或操作 ATM、網銀，訂單資訊正確也不代表信是真的。請自行從官網或官方 App 查證，並撥打 165 反詐騙專線。若已提供金融資料或完成轉帳，應立即聯絡銀行或發卡機構；有財損請儘速報警。

參考資料

1. 【重要公告】近期「定期購／重複訂閱」詐騙信事件說明 – 事件經過、推論與處置。1shop · 2026 年 10 月 30 日，10 月 31 日更新
2. 資安事件說明與「定期購／重複訂閱」訊息防詐騙提醒 – 入侵入口、修補時間與可能影響範圍。莫筆克科技 · 2026 年 11 月 3 日
3. 最新動態：資安防護與事件應對 – 假冒郵件說明與第三方 ERP 事件因應。Shopline · 2026 年 10 月 21 日、11 月 3 日
4. 葡萄王說明「購健康」平台委外服務廠商資安事件 – 公開資訊觀測站重大訊息全文，事實發生日民國 115 年 11 月 2 日。MoneyDJ 轉載
5. 繼91APP遭駭後，1shop、Cyberbiz與meepShop等電商技術服務業者接連傳出資安警訊 – 品牌公告彙整與查證情形。iThome · 2026 年 11 月 4 日
6. 電商ERP業者莫筆克科技遭駭，Shopline更換相關API金鑰 – Shopline 與 ERP 業者的關係、受影響品牌。iThome · 2026 年 11 月 4 日
7. 個人資料保護法施行細則 – 第 8 條委託監督。全國法規資料庫