netiCRM 資安事件懶人包：非營利組織與捐款人現在該做什麼

netiCRM 資安事件是指捐款與會員管理系統 netiCRM 的服務商網絡行動科技，部分伺服器在 2026 年 11 月 8 日晚間至 9 日凌晨遭外部攻擊者入侵，使用這套系統的數十個非營利組織陸續發出防詐提醒。截至目前，捐款人個資是否外洩仍在調查，服務商表示遭入侵的是內部技術管理主機，尚未發現捐款紀錄遭竊的跡象。

對使用 netiCRM 的基金會與協會來說，現在要做的不是等調查結果，而是先把能控制的事做完：更換後台密碼、提醒捐款人防詐、向服務商書面確認影響範圍。下面整理事件經過、已確認與尚未確認的事、組織該做的事，以及個資法上的責任；需要協助處理委外與事故流程，可參考我們的 個資法顧問 服務。

資訊截至 2026 年 11 月 11 日。本文會隨服務商與各組織的後續公告更新。

netiCRM 資安事件經過：時間軸

這起事件從入侵到各組織示警只隔了一天。以下依服務商通知內容（經台灣同志諮詢熱線協會公告與 iThome 報導轉述）整理：

服務商也預告會重建客戶網站的系統環境並進行切換，期間捐款頁面可能有數小時的預防性中斷。捐款頁面暫時打不開，未必代表又出了事。

目前確認與尚未確認的事

面對這次 netiCRM 資安事件，判斷要不要通知捐款人、通知什麼，要先分清楚哪些是已確認、哪些還在調查。下表的「已確認」都來自服務商說明，尚無第三方調查報告佐證。

我們的看法是，「尚未發現」不等於「沒有外洩」。在調查結果出來前，組織應以資料可能外洩的標準準備，但對外說明時要誠實寫出目前的確認程度，不要誇大，也不要過度保證。

使用 netiCRM 的組織現在該做的事

服務商已建議客戶更改後台所有管理員密碼、提醒捐款人留意詐騙、通知內部利害關係人。在這三件事之外，組織還應該向服務商要書面回覆，並留下每一步的處理紀錄。以下 6 項可以依序完成。

1. 更改 netiCRM 後台所有管理員密碼，順便停用已離職人員與不再使用的帳號。
2. 在官網、社群與電子報發布防詐提醒，寫明組織不會以扣款失敗、重複扣款等理由，要求捐款人操作 ATM、網路銀行或提供驗證碼，並附上官方查證電話。
3. 留意以組織名義寄出的可疑信件；服務商把寄信用的郵件帳號設定視為可能外洩，若發現異常寄信，請服務商協助更換。
4. 通知理監事或董事會等內部利害關係人，說明事件、已採取措施與後續時程。
5. 以書面向服務商確認：本組織資料是否在受影響主機上、涉及哪些欄位與期間、調查何時完成、能否提供調查摘要。
6. 保留服務商通知、組織公告與處理時間的紀錄，作為日後說明與監督的證據。

要不要通知捐款人？個資法怎麼看

依現行個資法第 12 條，個資被竊取、洩漏、竄改或受其他侵害時，組織應在查明後以適當方式通知當事人；施行細則第 22 條規定，可以用電話、簡訊、電子郵件、書面等方式通知。目前服務商尚未確認捐款人資料遭竊，所以多數組織現在發的是防詐提醒，而不是外洩通知。

這兩者要分開寫。防詐提醒可以立刻發，內容是請捐款人提高警覺、說明官方查證管道；如果後續確認資料外洩，再依第 12 條發正式通知，說明外洩的事實、已採取的措施與諮詢窗口。2025 年修正的個資法還會加入向主管機關通報的義務，但施行日期仍由行政院另定。

非營利組織同樣受個資法規範，捐款、志工與服務對象資料的整體管理方式，可參考 財團法人 個資 的整理；外洩確認後的通知步驟，則可對照 個資外洩怎麼辦 的流程。

委外系統出事，組織還有責任嗎？

有。netiCRM 資安事件再次說明，依個資法第 4 條，受委託處理個資的服務商，在個資法適用範圍內視同委託者；施行細則第 8 條要求委託者對受託者適當監督，包括約定事故時的通知事項與補救措施。換句話說，資料放在服務商的系統上，組織仍要能說明自己怎麼監督。

這和近期電商品牌的處境很像：品牌把官網交給平台或系統商，出事時對消費者說明的仍是品牌自己，相關經過可參考 電商資安事件 的整理。實務上，組織可以趁這次檢查與服務商的合約，有沒有寫明事故通知時限、配合調查、資料刪除與返還；沒有的話，續約時補上。

這週之內，組織最少要完成哪三件事？

第一，今天就換掉 netiCRM 後台所有管理員密碼。第二，發出防詐提醒，並把官方查證電話放在最顯眼的位置。第三，寄一封書面詢問給服務商，請對方回覆本組織資料是否在受影響範圍內。調查結果出來後，再決定是否需要正式通知捐款人。

人力有限的協會與基金會，也可以趁這次把委外合約、帳號權限與事故流程一起整理。需要協助的話，可以了解我們的 個資法顧問 服務，或 先請顧問看一下現況。

netiCRM 資安事件常見問題

捐款人的信用卡資料會外洩嗎？

依台灣同志諮詢熱線協會轉述的服務商說明，netiCRM 原本就不儲存信用卡資訊。捐款人比較需要提防的是詐騙電話與訊息：若有人以扣款失敗、重複扣款或退款為由，要求操作 ATM、網路銀行或提供驗證碼，應立即掛斷，向捐款的組織查證，並撥打 165 反詐騙專線。

非營利組織要通報主管機關嗎？

服務商已向數位發展部通報並報案。依現行個資法，組織在查明個資遭侵害後，應以適當方式通知當事人；是否還要向主管機關通報，要看組織所屬的目的事業主管機關是否訂有相關辦法。2025 年修正的個資法會增加通報主管機關的義務，但施行日期仍未定。

要不要換掉捐款系統？

不必急著換。換系統本身也有資料搬移的風險，而且同樣要評估新廠商的資安。比較務實的做法是先完成密碼更換與防詐提醒，等服務商公布調查結果，再依對方的處理方式、說明是否透明，以及合約是否有事故通知與賠償條款，決定是否續用。

參考資料

1. 2026-11-10【公告】防詐騙提醒 – 服務商通知內容、處理措施與防詐原則。台灣同志諮詢熱線協會 · 2026 年 11 月 10 日
2. 捐款人個資恐外洩！netiCRM服務商遭駭，公督盟、司改會等超過30個非營利組織接連示警 – 入侵經過、受影響組織與服務商說明。iThome · 2026 年 11 月 10 日
3. 個人資料保護法施行細則 – 第 8 條委託監督、第 22 條通知方式。全國法規資料庫