AI 網攻來襲：數發部 5 項應變行動，企業 72 小時內該做什麼？
數位發展部資通安全署民國 115 年 11 月 11 日表示，境外駭客自 2026 年 7 月起運用 AI 代理工具發動 AI 網攻，臺灣已有十餘家企業及網路平台受害，累計逾百萬份個資受影響，並要求企業「補漏洞、快通知、個資最小化」。數發部同時提出 5 項應變行動，其中 4 項的期限是 72 小時。
這篇把官方說法整理成企業可以直接照做的清單，並區分哪些是法律義務、哪些是政府建議。若想在攻擊者之前先找到自家系統的漏洞，可參考我們的 滲透測試服務。
資訊截至 2026 年 11 月 12 日。本文會隨資安署後續公告更新。
資安署 11 月 11 日說了什麼？
資安署的重點是：AI 讓攻擊更快、更便宜、規模更大，而且目標已從政府機關擴大到一般企業與網路平台。依資安署初步調查，近半數攻擊事件與 AI 攻擊有關，包括 AI 自動化攻擊結合 ARTEX 滲透測試工具的案例。
| 時間 | 事件 |
|---|---|
| 2026 年 7 月起 | 境外駭客運用 AI 代理工具發動網攻，先鎖定政府機關 |
| 2026 年 10 月 | 91APP 等電商服務業者陸續傳出資安事件，91APP 曾發現 ARTEX 痕跡 |
| 2026 年 10 月底至 11 月 | 多家電商服務業者與上市櫃品牌發布資安事件公告 |
| 2026 年 11 月 11 日 | 數發部與資安署記者會：十餘家企業及平台受害、逾百萬份個資受影響，提出 5 項應變行動 |
攻擊手法並不神秘。資安署指出，攻擊者多利用 PHP、Node.js、GitLab 等軟體的已知高風險漏洞，再透過權限較高、可大量存取資料的 API 取得個資。這一波 電商資安事件 的時間軸與受影響業者，我們另有整理。
AI 網攻和傳統攻擊有什麼不同？
差別主要在速度與規模，而不是手法本身。過去攻擊者要花時間逐一嘗試，現在 AI 代理可以自動掃描、自動嘗試已知漏洞，一次對大量目標動手，所以「漏洞公開後慢慢排程修補」的做法風險變高。
對企業的意義很直接：被攻擊的不再只是知名大企業。只要對外服務有未修補的已知漏洞，或有權限過大的 API，就可能被自動化工具找到。各種常見 駭客攻擊手法 並沒有消失，只是被執行得更快。
數發部 5 項應變行動逐項解讀
數發部提出的 5 項行動，前 4 項以 72 小時為期限，第 5 項是一個月內提出檢討與改善計畫。下表把每一項換成企業內部可以分派的工作。
| # | 數發部應變行動 | 期限 | 企業實際要做的事 |
|---|---|---|---|
| 1 | 資安署或資安院發布重大資安警訊時，參考「各機關基於風險導向之弱點處置期限評估指引」完成升級、修補、關閉功能或其他措施 | 72 小時 | 指定專人收警訊；對照資產清單判斷是否受影響 |
| 2 | 數位經濟相關企業發現個資外洩，通報主管機關 | 72 小時 | 依產業辦法通報；保留通報紀錄 |
| 3 | 發現個資外洩，以適當方式個別通知當事人潛在詐騙風險 | 72 小時 | 以簡訊、電子郵件等個別通知，寫明官方不會做的事 |
| 4 | 找到原因，或完成修補，或關閉部分功能等措施，防止災情擴大 | 72 小時 | 先止血再查根因；修補前保全日誌 |
| 5 | 提出檢討與改善計畫，落實個資最小化 | 1 個月 | 檢討收集欄位、保存期限與委外合約 |
補漏洞、快通知、個資最小化，怎麼落實？
資安署要求企業把資安當成營運關鍵風險，具體做法分成三件事。資安署也提醒，企業若應作為而未作為致生損害，可能需負法律賠償責任。
補漏洞
事前依資安警訊進行源碼掃描與 滲透測試，限期修補已知漏洞。受駭後要換發或廢止可能外洩的金鑰、密碼與存取權杖，改用短時效憑證，清查同類系統與內部後台，並在修補前保全系統日誌，委由專業鑑識團隊確認沒有留下後門。
快通知
初步掌握受影響範圍後即可先行通知，不必等調查完全結束，並明確提醒民眾官方絕不會要求操作 ATM、網銀或透過 LINE 退款。委外代管或系統服務平台，也要依約同步通知合作品牌。
個資最小化
只收履約必要的欄位，例如超商取貨不必強制填寫完整戶籍地址；訂定保存年限，過期訂單依法刪除或去識別化；敏感資料分開存放並加密遮罩；委外合約要求廠商遵循同等規範，業務終止時銷毀資料並提供證明。
哪些是法定義務，哪些是建議？
72 小時通報主管機關有明確法源，但「72 小時內個別通知當事人」是數發部的建議，個資法本身的要求是查明後以適當方式通知。企業要分清楚兩者，才不會漏掉法定義務，也不會因為等待而錯過防詐黃金時間。
| 項目 | 依據 | 性質 |
|---|---|---|
| 通知當事人 | 個資法第 12 條：查明後以適當方式通知 | 法定義務，條文未訂時數 |
| 72 小時通報主管機關 | 數位經濟相關產業、零售業等個資檔案安全維護辦法 | 法定義務（適用該辦法的業者） |
| 1 小時內通報資安事件 | 資通安全事件通報應變及演練辦法第 11 條 | 法定義務（特定非公務機關） |
| 72 小時內個別通知當事人、找原因或止血 | 數發部 115 年 11 月 11 日應變行動 | 政府建議 |
| 72 小時內處置重大警訊 | 同上，參考弱點處置期限評估指引 | 政府建議 |
企業現在可以先做的 72 小時清單
下面清單依資安署建議整理，適合在發生事件或收到重大警訊時直接分派。事前能做完前 3 項，事發時就能省下最寶貴的時間。
| # | 檢查項目 | 已完成 |
|---|---|---|
| 1 | 加入 TWCERT/CC 情資分享，警訊有專人收件 | ☐ |
| 2 | 有對外系統與 API 清單，知道哪些使用 PHP、Node.js、GitLab | ☐ |
| 3 | 盤點高權限 API 與 Token，移除不必要的大量存取權限 | ☐ |
| 4 | 事發時先保全日誌，再修補或關閉功能 | ☐ |
| 5 | 換發或廢止可能外洩的金鑰、密碼與 Token | ☐ |
| 6 | 72 小時內依產業辦法通報主管機關 | ☐ |
| 7 | 個別通知受影響客戶，寫明官方不會做的事 | ☐ |
| 8 | 委外平台已依約通知合作品牌，或已向廠商書面詢問 | ☐ |
| 9 | 一個月內提出改善計畫，刪減不必要的收集欄位 | ☐ |
對企業的影響：不是大企業才會被盯上
這波 AI 網攻最大的改變，是攻擊成本下降後，中小企業也成了目標。資安署強調企業不必單打獨鬥：事前可免費加入 TWCERT/CC 的情資分享，對照漏洞紀錄與警訊優先修補；事後可向 TWCERT/CC 通報，取得範圍判斷、惡意樣本分析與專家媒合的協助。
我們的看法是，與其等下一則重大警訊，不如現在就確認兩件事：對外系統有沒有未修補的已知漏洞，以及 API 的權限是不是超過業務需要。這兩件事做好，AI 再快也比較難得手。
AI 網攻常見問題
72 小時通知當事人是法律規定嗎？
不是。個資法第 12 條要求查明後以適當方式通知當事人，沒有訂出時數；72 小時是數發部 11 月 11 日提出的建議。不過資安署也說明，初步掌握範圍後就應先行通知，搶在詐騙集團之前。
中小企業怎麼取得資安警訊？
可以免費加入 TWCERT/CC 情資分享，資安預警會直接寄到信箱，並可在 TWCERT/CC 官網查詢漏洞紀錄與警訊。重點是指定專人收件，並且有一份對外系統清單可以對照。
已經換了金鑰，還要做什麼？
換金鑰只能阻止舊憑證繼續被使用，無法收回已被取得的資料。資安署建議同時清查同類系統與內部後台、保全日誌並由鑑識團隊確認沒有後門，也要通知當事人防範詐騙。
參考資料
- 因應國際AI網攻威脅 資安署籲企業「補漏洞、快通知、個資最小化」，全民慎防個資詐騙 – 受害規模、AI 攻擊比例、三項因應作為與五項應變行動。數位發展部資通安全署 · 民國 115 年 11 月 11 日
- 個人資料保護法 – 第 12 條通知當事人。全國法規資料庫
- 數位經濟相關產業個人資料檔案安全維護管理辦法 – 第 8 條 72 小時通報。數位發展部 · 民國 112 年 10 月 12 日
- 資通安全事件通報應變及演練辦法 – 第 11 條特定非公務機關 1 小時內通報。數位發展部 · 民國 115 年 1 月 5 日修正
