admin
不是已確認每個人均遭資料竊取
視覺為新聞編輯製作的訂單欄位示意，未使用真實個資，也不是91APP內部系統畫面。
91APP被駭恐影響479萬消費者！1,329品牌訂單資料遭入侵，11/2通知、沒財損也能申請補償：查詢資格、防詐與期限一次看
個別受害名單未確定
91APP於2026年10月29日公布25天調查結果，證實Commerce Cloud其中一座短期訂單資料庫遭非法存取，部分資料被竊取。因無法逐筆辨識遭竊訂單，公司依最大可能範圍，將2025年4月4日至2026年10月14日間涉及的1,329家品牌、4,798,255名消費者納入通知及補償處理。可能涉及姓名、電話、配送地址、電子郵件及訂單紀錄；信用卡、支付資料與會員登入密碼不在遭入侵資料庫內。消費者已可聯絡官方反映，線上登記及正式通知預計11月2日起進行，受理期限至2027年2月1日。本文整理資格、申請、防詐及最新安全更新。
91APP電話與Email已可受理諮詢；線上登記預計11月2日開放。
91APP官方補償與通知公告 本頁日期提示依台灣時間計算，不代表已驗證官方表單的即時開放狀態。91APP為什麼會有近480萬人可能受影響？10月29日公布了什麼？
91APP於10月29日召開重大資安事件說明會，董事長何英圻與經營團隊公開25天調查結果並向消費者、品牌客戶致歉。第三方資安公司奧義智慧科技確認，遭非法存取的是Commerce Cloud服務中一座短期訂單資料庫，其中部分資料已被竊取。
因為調查無法完整判定哪些訂單實際遭取走，公司採取最大可能影響範圍，將相關期間內的消費者納入後續通知及補償受理。數字為1,329家品牌、4,798,255名消費者。
這並不等於4,798,255人的每筆個資都已證明被駭客取得。 目前應分成三層理解：資料庫遭非法存取已確認；部分資料被竊取已確認；每一人的實際外洩狀態未逐筆確認。
官方與第三方調查確認。
已確定存在資料被取走的情況。
不能如此宣稱；這是最大可能範圍。
這是91APP自己的購物網站被駭嗎？
91APP是為零售品牌提供電商系統服務的業者。消費者在各品牌官方網站或App購物時，未必會直接看到91APP名稱，但部分訂單資料可能由91APP系統處理。因此事件涉及的不只是一家消費者熟悉的網路商店。
哪段時間的訂單可能受到影響？2025年4月4日至2026年10月14日
依91APP公告，最大可能範圍包含2025年4月4日至2026年10月14日，透過使用91APP系統的品牌官網或App成立的線上訂單。包括購物時仍營業、目前已結束營業的品牌。
這不是官方受害名單查詢，不要求姓名、電話、訂單號碼，也不會送出任何資料。
目前無公開完整品牌及個人外洩名單可供本工具核對，請向購物品牌及91APP官方查詢。
2025年4月4日以前買過，也會被這次調查納入嗎？
如果只有公告指定期間以前成立的訂單，依目前公布的資料庫範圍並不在本次指定訂單期間內。但個別品牌若有其他資安事件，仍需要分別確認。
實體百貨購物也一定受到影響嗎？
不能直接認定。公告指向使用91APP系統成立的品牌線上訂單，不可自行把所有實體店面交易都算入。
哪些個資可能外洩？姓名、電話、地址與訂單紀錄是核心
91APP公布可能遭存取的資料為姓名、電話號碼、配送地址、電子郵件及訂單紀錄。公司說明，信用卡、其他支付資料及會員登入密碼不在本次遭非法存取的訂單資料庫內。
| 資料類型 | 本次公告狀態 | 注意事項 |
|---|---|---|
| 姓名 | 可能遭存取 | 假客服可能正確稱呼消費者 |
| 電話 | 可能遭存取 | 留意針對性詐騙簡訊及來電 |
| 配送地址 | 依訂單欄位可能涉及 | 超商取貨訂單未必有住家地址 |
| 如有填寫可能涉及 | 辨識偽造的品牌通知 | |
| 訂單紀錄 | 可能遭存取 | 購物細節可能被用於詐騙 |
| 信用卡與支付資料 | 不在遭入侵資料庫內 | 不是所有金融風險都因此排除 |
| 會員登入密碼 | 不在遭入侵資料庫內 | 若另有釣魚風險仍應更改密碼 |
既然沒有信用卡資料，為什麼還有詐騙風險？
真實姓名、品牌、訂單商品及聯絡方式就可能讓假客服具備高度可信度。詐騙者可能假稱訂單重複扣款、誤設分期或需要退款驗證，再誘導操作ATM、網路銀行或提供一次性驗證碼。
超商取貨的訂單，也代表住家地址外洩嗎？
不一定。91APP官方已提醒，超商取貨訂單未必包含配送住址。新聞不應因此宣稱所有消費者的住家地址均遭暴露。
需要把所有購物網站密碼都重新設定嗎？
本次遭入侵資料庫不包含會員登入密碼。但如果曾開啟可疑連結、輸入過密碼，或不同網站使用重複密碼，應直接到官方網站修改並開啟適用的驗證機制。
91APP被駭時間線：10月3日攻擊、14日阻斷、29日公布受影響範圍
10月29日並不是攻擊首次發生的日期，而是91APP完成25天階段性調查、對外公布較完整影響範圍及補償安排的時間。
公司揭露最大可能影響範圍1,329品牌及4,798,255名消費者，並公開通知及補償安排。
- 攻擊活動留痕
事後調查發現CI主機曾有未授權執行紀錄，並追查至訂單資料庫非法存取。
- 首度接獲品牌通報
91APP開始盤查，最初資訊尚未足以確認系統端發生個資外洩。
- 擴大核查、成立應變小組
更多品牌回報疑似詐騙，決定委託第三方資安專家參與調查。
- 確認破口並阻斷入侵
移除受入侵工具、限制網路存取、更換資料庫憑證及相關權限。
- 主管機關通報與重大訊息
15日通報及處置，16日對外揭露Commerce Cloud資安事故。
- 行政查核及18天調查報告
主管機關進行檢查，公司補充攻擊途徑與防堵情況。
- 公開25天報告與補償安排
公布1,329家品牌及4,798,255名消費者的最大可能範圍。
- 會員重新登入
公司表示進行預防性安全更新，不是再次遭駭的證據。
- 預計正式通知及線上登記
在品牌授權後陸續通知，官方頁面預計提供登記入口。
為什麼10月4日接獲通報，直到14日才確認破口？
91APP說明，最初取得的詐騙資料與其系統內的訂單資訊存在不一致，因此初期調查方向並非立即鎖定內部資料庫。隨後擴大分析日誌與系統紀錄，才找到CI主機異常及第三方工具入侵跡象。
這段時間差是事件治理的重要議題，但不能將10月14日取得的鑑識結果，倒推為公司在10月4日已掌握相同證據。
91APP遭駭技術原因：Appsmith第三方工具、GitLab金鑰與ARTEX攻擊
依91APP10月22日官方調查說明，攻擊者利用未及時套用安全修補的第三方Appsmith工具作為入口，進入內部網路後，從GitLab相關系統取得一座訂單資料庫的存取金鑰，進而非法存取資料。
91APP將事件稱為ARTEX AI Agent自動化攻擊。這是官方公布的攻擊型態歸類，不能延伸成已完整公開駭客的AI操作過程或斷言全程沒有人工參與。
未及時修補的第三方工具
相關金鑰與內部權限暴露
部分訂單資料遭非法取得
使用Appsmith的公司都會發生相同問題嗎？
不能這樣認定。公開調查針對91APP自身的特定版本、配置及權限管理狀況。其他公司的修補狀態、網路隔離、憑證保存與權限設計可能完全不同。
GitLab存取金鑰為什麼會影響訂單資料庫？
如果開發與持續整合環境保存了可存取敏感資源的憑證，而權限過大或隔離不足，入侵者就可能利用取得的合法憑證擴大存取範圍。這也是企業資安不能只注意前台網站的原因。
ARTEX代表AI已能完全自主入侵企業嗎？
91APP官方使用ARTEX自動化攻擊的說法，但公開資料不足以完整重建人員操作、工具決策與每個攻擊階段。應將可證實的攻擊路徑與更廣泛的AI安全推論分開。
91APP補償怎麼申請？沒有被騙錢也可以反映個資損害
91APP表示，不論是否有財產損失，與本次事件有關的損害均可向公司反映並提出補償申請。但「可以申請」不代表「已確認會獲得固定金額」。實際補償及個案認定仍應依正式方案辦理。
| 項目 | 目前官方安排 |
|---|---|
| 有財產損失 | 可直接向91APP反映及提出申請，依個案核對 |
| 沒有財產損失 | 如有相關個資損害，亦納入受理 |
| 線上登記入口 | 預計2026年11月2日於官方頁公布 |
| 目前可以使用的管道 | 官方電話、Email與線上客服 |
| 申請期限 | 目前至2027年2月1日 |
| 固定賠償額度 | 尚未公告人人適用的定額 |
沒有收到通知，也可以諮詢嗎？
可以透過官方電話或信箱提出疑問。但91APP指出，未收到正式通知可能是個人不在當次名單，或品牌尚未授權代為辦理，因此不保證所有人都能直接使用同一個線上登記程序。
有被詐騙、卻沒有保存訂單編號怎麼辦？
先保存仍持有的簡訊、來電紀錄、銀行明細、轉帳證明、報案資訊及購物平台紀錄。正式需要的證明項目依後續申請流程為準。已發生轉帳損失時，應先聯絡銀行與警方，不必等到補償審核。
每個人能補償多少錢？
截至10月30日，91APP並未公布所有消費者均適用的固定賠償額。任何宣稱「一律賠3,000元」「不用審核即可領現金」的訊息，都必須先查證官方公告。
11月2日起陸續通知！91APP簡訊、Email怎麼分辨真假？
91APP表示，11月2日起，在取得品牌授權後將以Email通知受影響消費者，沒有Email資料者以簡訊通知。官方提醒正式通知不會附上要求輸入個資的連結，也不會要求加入私人LINE、操作ATM或提供金融資料。
說明事件、通知管道與查詢方式；讀者可自行開啟91APP官網核對。
要求即刻付款、輸入OTP、提供信用卡或網銀資料，或加入私人LINE領取補償。
以下僅提供風險辨識，不能作為個別訊息真偽的最終鑑定。
要求先匯款、操作ATM、輸入金融資料或OTP的通知不符合91APP正式公告。不要提供資料。
寄件者顯示91app.com就一定安全嗎？
不能。寄件者顯示名稱可能偽造，電子郵件也可能存在冒用。最安全的核對方式，是自己輸入官方網址並從公告頁查詢，不依賴郵件內的陌生按鈕。
為什麼10月14日阻斷攻擊，之後還會收到假客服電話？
如果部分資料先前已被外部取得，即使原入侵途徑被阻斷，資料仍可能遭反覆利用。新的詐騙訊息不必然代表同一系統再次遭入侵。
10月30日品牌會員突然被登出、必須重新登入，是不是又被駭？
91APP官方10月29日公告說明，10月30日凌晨進行安全性更新，相關會員需重新登入。公司將其定位為預防性安全措施，不是發生另一輪資安事件的證據。
安全更新可能包含登入工作階段、權杖或其他存取控制的調整，讓原有登入狀態失效。但目前不能自行推論91APP已對所有會員強制重設密碼，因為公開資料主要確認的是重新登入。
請直接從原本的品牌官方App或自己輸入的品牌網址登入，不要透過陌生簡訊「會員解鎖」連結。
需要透過簡訊連結恢復會員登入嗎？
不需要。凡要求提供銀行密碼、信用卡資料、網銀OTP才能恢復品牌會員資格的操作，都應先停止並向品牌官方查證。
91APP是電商系統供應商，1,329個品牌要負什麼責任？
事件反映電商平台供應商與品牌客戶之間的資料處理責任。消費者往往只知道自己在哪個品牌購物，不知道品牌背後的電商平台服務商。
91APP表示已向受影響品牌發出正式通知，品牌可於OSM後台查看自身影響範圍並完成授權，讓91APP代為進行消費者通知、溝通與補償處理。
品牌若尚未授權，可能影響91APP代辦通知的程序，但不能據此認為消費者的個資權益自動消失。實際法律責任仍須按契約、資料控制關係及個案證據判斷。
91APP旗下所有系統都遭入侵了嗎？
不能這樣認定。公司公告指出，事件涉及Commerce Cloud其中一座訂單資料庫；Marketing Cloud、91APP Payments與iCHEF並非這次調查認定的受影響系統。也不能將供應商事故直接說成所有品牌網站均被完全接管。
品牌現在應該檢查哪些項目？
應與供應商確認訂單保存期間、第三方工具修補、CI/CD存取權限、金鑰管理、客服防詐、資料最小化及通知流程。不同品牌使用的系統架構不盡相同，不能推定全部存在相同弱點。
消費者今天應做哪6件事？避免個資事件變成金融損失
不要因為焦慮而立刻點擊陌生補償連結。下面六項檢查只記錄在目前瀏覽器頁面，不會取得或上傳個人資訊。
勾選項目可複製保存，不需登入或填寫任何個資。
沒有遭到詐騙財損，需要先報警嗎？
不能把所有可能受影響者都認定為已遭詐騙。如果目前只收到正常通知，尚無異常轉帳或身分冒用，可先保存相關資料並確認官方申請流程；若已受詐騙，應及時通報警方與銀行。
可以要求91APP刪除保存的所有訂單資料嗎？
個資查詢、更正、停止處理與刪除等權利仍須依個資法及相關保存義務個別處理。有些交易資料可能因法定義務需要保留，不宜保證提出請求後會立即全部刪除。
FAQ｜91APP個資外洩、479萬人、補償申請與11月2日通知12大問題
Q0191APP真的被駭客入侵了嗎？+
是。91APP與第三方資安公司確認Commerce Cloud一座短期訂單資料庫遭非法存取，部分資料被竊取。
Q0291APP有多少消費者可能受到影響？+
最大可能影響範圍為4,798,255名消費者、1,329家品牌，不代表每一人的資料都已確認被取走。
Q03哪些日期的訂單可能受影響？+
2025年4月4日至2026年10月14日間，使用91APP系統的品牌官網或App成立的線上訂單。
Q0491APP外洩哪些個資？+
可能涉及姓名、電話、配送地址、電子郵件及訂單紀錄；依公司說明，信用卡、會員密碼及其他支付資料不在遭入侵資料庫內。
Q05我沒有直接使用91APP，為什麼仍可能受影響？+
91APP替不同零售品牌提供電商系統，消費者可能透過品牌官網或App購物，背後使用91APP服務。
Q0691APP補償到什麼時候？+
公司公告的申請受理期限為2027年2月1日，應依後續正式表單及資格規則辦理。
Q0791APP沒有財產損失也可以申請嗎？+
有個資損害的消費者也可提出反映及申請，但不代表保證取得固定賠償金額。
Q0891APP線上補償表單什麼時候開放？+
截至2026年10月30日，官網顯示預計11月2日公布登記入口；目前可先聯繫官方客服。
Q0991APP什麼時候寄通知？+
預計11月2日起，在取得品牌授權後，以電子郵件通知；無Email資料者以簡訊通知。
Q1091APP通知會要求加入LINE或操作ATM嗎？+
不會。公司明確提醒正式通知不會要求加入私人LINE、操作ATM，或提供銀行密碼、信用卡及其他付款資訊。
Q1110月30日品牌會員突然被登出是又遭駭嗎？+
91APP說明，10月30日凌晨安全性更新要求會員重新登入，屬預防性措施，不是新一輪資安事件的證據。
Q1291APP官方客服電話及信箱是什麼？+
電話為(02) 7723-1622，平日09:00–18:00；服務信箱為servicetw@91app.com。
結論：91APP已確認部分訂單資料被竊，但479萬人是最大可能影響範圍
91APP10月29日公布調查結果，確認Commerce Cloud其中一座短期訂單資料庫遭非法存取，部分資料遭竊。由於無法確認每筆被取得的訂單，公司將2025年4月4日至2026年10月14日間最大可能範圍的1,329家品牌、4,798,255名消費者納入通知及補償安排。
信用卡、會員登入密碼與其他支付資料不在這次遭入侵資料庫內，但姓名、電話及訂單細節仍可能提高假客服詐騙的可信度。尤其部分訂單資料一旦被非法取得，攻擊阻斷後仍可能被詐騙者反覆利用。
消費者應優先確認自身訂單日期與官方公告，必要時利用91APP客服管道反映。線上表單預計11月2日開放，目前申請截止期限為2027年2月1日。有實際轉帳損失時，應先保存證據、聯絡銀行與警方，不要只等待補償審查。
479萬8,255人是最大可能影響範圍，並非逐筆鑑識後的確定遭竊名單。
新聞來源與事實查核
受影響期間、補償受理、11月2日預定通知、客服資訊及防詐說明。
調查時間線、Appsmith與GitLab憑證風險、攻擊阻斷及系統安全措施。
核對1,329家品牌與4,798,255人，以及受理及通知承諾。
交叉核對公司記者會、補償安排與尚未訂定的補償金額。
核對10月14日晚間阻斷入侵、第三方工具與資料庫存取。
目前已確認資料庫非法存取、部分資料遭竊、最大可能影響範圍及公告的補償與通知安排。官方尚未公布所有受影響者的逐筆鑑識名單及人人固定的補償額。11月2日線上登記若正式上線，應同步更新本文、FAQ、Meta Description及修改日期。
