漢來美食商城爆資安事件！CYBERBIZ訂單資料遭未授權存取，黑松、台鹽也受影響？收到通知怎麼辦？

漢來美食11月10日發布重大訊息！CYBERBIZ資料庫發生什麼事？

漢來美食在2026年11月10日發布公開資訊觀測站重大訊息， 事件事實發生日為11月10日。 公司當天接獲委外商城服務商順立智慧通知， 得知其資料庫部分資料遭未經授權異常存取， 涉及漢來線上商城部分消費者訂單相關資料。

這是已經正式公告的資安事件， 並非單純來自社群媒體的網路傳聞。 但重大訊息屬初步揭露， 不等於所有系統鑑識、資料流向與事故責任均已查明。

不是所有漢來實體餐廳都已證實受到影響

本次公告明確指向委外線上購物商城與部分消費者訂單。 不能據此斷言漢來所有實體餐廳的訂位資料、 現場結帳系統或其他會員資料庫全部遭到入侵。 僅在實體餐廳消費過的人， 也不能直接被列為已確認受影響者。

公司公告已經確認哪些處理措施？

漢來表示已啟動資安事件應變機制、 透過官網加強防詐宣導， 並以簡訊及電子郵件通知受影響消費者。 此外，公司要求順立智慧進行資安檢視、 採取必要強化措施並持續追蹤改善。

截至公告當時， 漢來對財務及業務的評估是尚無重大影響。 這不表示個資風險已完全排除， 也不代表調查程序已經結束。

訂單資料遭異常存取等於個資外洩嗎？有哪些資訊仍待查？

「未經授權異常存取」與「已證實資料被複製、公開或出售」 不是同一個概念。 前者表示存在未獲授權的資料存取行為， 後者則需要更具體的資料流向與鑑識證據。

漢來已確認有部分線上商城消費者訂單相關資料涉及事件； 但截至11月11日上午， 尚未公布完整受影響人數、 各資料欄位、攻擊者身分或資料是否被公開散布。

訂單資料通常可能包含什麼？

一般電商訂單可能記錄姓名、聯絡方式、 配送地址、商品、交易金額、 下單時間和物流狀態， 有些系統也會保存必要的支付交易識別資訊。 不過，不同系統架構與付款串接方式存在差異。

這些只是電商訂單常見資料類型， 並不是本次事故已確認被取得的清單。 尤其不能因為涉及訂單， 就推定完整信用卡號、銀行密碼或身分證資料已經外洩。

資料仍待查，為什麼就要通知消費者？

消費者若被冒名聯繫， 詐騙者可能利用與訂單有關的資訊提高可信度。 在事故影響尚待查明時先提供防詐提醒， 有助於消費者提高警覺， 但不代表每位收到通知者都已遭受財務損失。

漢來美食採取哪些措施？簡訊、Email通知與委外資安改善同步進行

漢來美食公告提出三個處理方向： 啟動內部資安應變與防護流程、 透過官網及個別通知進行防詐提醒、 要求委外廠商執行安全檢視及改善。

漢來有宣布所有餐廳或線上商城停業嗎？

沒有。11月10日重大訊息沒有宣布漢來所有實體餐廳停止營業， 也沒有宣布整體線上商城全面停止服務。 公司稱當時財務與業務尚無重大影響。 若個別購物功能另有調整， 仍應依實際官方網站及後續公告確認。

沒有重大財務影響，是否代表個資完全安全？

不代表。財務與營運影響屬公司的經營評估， 消費者資料保護則須看事故調查、 通知範圍及後續改善是否有效。 兩者不能混為一談。

不只漢來！CYBERBIZ資安事件還有哪些品牌公告？

這起事件受到關注的原因之一， 是漢來並非第一家發布相關重大訊息的企業。 11月初葡萄王、台鹽、宏碁智新、 諾貝兒與黑松等公司， 已陸續對CYBERBIZ相關事件作出說明。

各公司的公告日期不等於實際入侵日期； 有些僅確認委外服務商異常， 有些則進一步說明訂單或個資可能受影響。 不能把各家表述合併成單一已確定受害名單。

以上為各公司公開重大訊息日期， 不是駭客逐日入侵時間表； 亦不能據此斷定所有品牌共用同一資料表。

為什麼不同品牌會在不同日期公告？

不同企業可能在不同時間接獲通知， 也可能依自身掌握資料與重大訊息揭露程序發布公告。 多個品牌使用同一委外服務商， 不等於它們都使用同一個完全共用的資料庫。 真正的系統隔離方式與事故技術原因仍須後續查證。

所有CYBERBIZ合作商家都受影響嗎？

目前沒有證據支持所有商家均受影響的說法。 本篇列出的公司是截至資料截點已有公開公告的案例， 不能將其直接擴大為平台所有客戶。

為什麼宏碁智新暫停商城，漢來卻沒有宣布全面停業？

各公司因服務架構、掌握的證據與風險處理方式不同， 可能採取不同措施。 宏碁智新11月5日得知其他CYBERBIZ客戶出現異常存取事件後， 即先暫停線上商店， 並要求廠商確認自身影響。

漢來11月10日的公告則著重於內部應變、 防詐通知及要求服務商改善， 未宣布旗下所有商城與實體餐廳全面停業。

暫停服務一定比持續營運安全嗎？

不一定。暫停服務可能降低持續暴露的機會， 但是否必要需依系統風險、 存取控制與緩解措施決定。 繼續營運同樣不代表系統一定沒有風險。

最重要的是事故調查是否完整、 影響範圍是否釐清、 改善措施是否經過驗證， 而不是只拿兩家公司公告措辭來評比資安能力。

收到漢來美食資安通知是真的嗎？先確認四件事

漢來已公告會以簡訊及Email通知受影響者， 但當品牌確實在發送通知時， 詐騙者也可能假冒品牌寄出內容相似的訊息。 因此，收到通知不必恐慌， 但也不能只因出現品牌名稱就相信。

訂單資料可能被不當利用！五種假客服詐騙話術要小心

刑事警察局長期提醒， 冒充網購客服、解除分期及假退款是常見詐騙模式。 不法分子可能利用交易明細提高電話可信度， 但以下是一般詐騙防範資訊， 不是警方已確認這次CYBERBIZ事件發生了五種具體詐騙案件。

詐騙者如果知道訂單資訊，就代表他是真的客服嗎？

不是。交易資料可能來自多種管道， 而且即使對方知道商品、日期或金額， 也無法證明其具官方授權身分。 消費者應自行從正式網站尋找客服， 不要順著陌生來電提供的號碼回撥。

為什麼「解除分期」尤其危險？

刑事警察局指出， ATM不能用來解除商家分期付款或完成退款驗證。 詐騙者可能讓受害者以為是在取消扣款， 實際上卻是在進行轉帳或其他金融授權。 遇到這類要求，應先掛斷並可撥打165諮詢。

曾在漢來商城購物怎麼辦？六步驟降低帳戶與個資風險

即使尚未收到通知， 曾使用相關線上商城的消費者仍可依自身情況檢查。 重點是驗證官方資訊、留意金融交易， 並阻止可能的假客服詐騙。

是否所有人都要立刻更換密碼？

目前沒有證據確認本次漢來會員密碼遭竊。 若發現陌生登入、收到未要求的密碼重設通知， 或在多個服務使用同一組密碼， 應優先更換相關帳號密碼並啟用可用的多因素驗證。 不必把所有密碼當成已確定外洩。

已遭盜刷或匯款，第一件事應做什麼？

立即聯絡發卡銀行或轉帳銀行， 說明疑似未授權交易並依銀行指示採取保護措施。 同時保存可疑來電、訊息、匯款與交易紀錄， 並向警察機關報案。

沒有收到Email就代表安全嗎？已購物、未購物、已輸入資料分別處理

漢來尚未公開完整受影響人數及資料範圍， 因此有無收到通知不能作為唯一判斷標準。 不同消費者的應對重點， 應依實際購物及操作情況區分。

沒收到資安通知，可以當成百分之百安全嗎？

不能。通知可能受到調查進度、 企業掌握的資料與聯絡資訊是否有效等因素影響。 曾使用相關線上商城的民眾， 可持續留意官方公告。

但也不需要把每封促銷Email、 購物提醒或陌生電話， 全部當成個資已外洩的證據。 應以具體異常與可確認的官方資訊判斷。

企業商城委外給CYBERBIZ，發生資安事件誰要負責？

消費者面對的是品牌商家的購物網站， 但商城建置、訂單管理或系統維運， 可能由外部電商服務商負責。 委外能降低企業自建系統負擔， 卻不代表品牌可以忽略消費者個資保護。

這是一般委外電商的角色分工， 實際法律責任仍須依個資處理角色、 契約條件、法令與事故調查判斷。 不能預先把全部責任歸給任一方。

漢來會向CYBERBIZ求償嗎？

漢來11月10日重大訊息表示， 若公司因本事件遭受損失， 將對順立智慧提出求償。 這是附有條件的未來處理立場， 並不等於當時已提告、 已勝訴或已確定賠償金額。

消費者是否能要求賠償？

是否可請求損害賠償， 需依個別損害、證據、 法律構成要件及實際責任判斷。 不能僅憑新聞公告， 就宣稱所有曾下單消費者均可領取固定金額。

個資外洩需要通知消費者嗎？2026年個資法適用版本要注意

台灣個人資料保護法對個資安全維護、 事件通知與委外處理已有規範。 但2025年11月11日修正公布的部分條文， 施行日期仍待行政院另定； 截至2026年11月11日上午， 新版第12條尚未全面生效。

委外處理個資，品牌商就沒有責任嗎？

不是。企業委託第三方處理個資時， 仍應依適用法規及委外契約， 管理處理目的、存取權限、 安全措施與事件通知等事項。 但本次公告尚不能單獨證明 漢來或CYBERBIZ已違反某條法律。

這次是否一定要向主管機關通報？

必須區分當時有效的個資法規定、 特定產業的個資安全維護規範 以及相關主管機關要求。 不能將尚未生效的新法通報條文 直接套用到所有2026年11月的企業。

法規核對： 個資會籌備處舊法歷史版本 ／ 2025年修正條文及施行註記

從漢來、黑松到台鹽，台灣電商產業該注意哪些委外資安風險？

這次事件凸顯第三方電商平台的重要風險： 多個品牌可能共同依賴服務商的技術能力， 當服務商出現異常， 多家企業便可能需要同步調查、 通知消費者及強化管理。

上述六項是企業可檢視的管理方向， 並非已經證實的本次CYBERBIZ事故技術成因。

是否代表所有企業都應放棄第三方平台？

不一定。自行建置商城同樣要負擔開發、 修補、監控與持續維運責任。 選擇第三方平台也可能取得專業支援。 真正應比較的是可驗證的安全管理能力、 資料責任界線及事故應變品質， 而不是單純用「自建」或「委外」判斷安全。

11月11日後還要關注什麼？目前最缺的是完整事故調查

目前企業已公布初步應變， 但要完整確認此次事故的實際規模、 受影響資料及後續責任， 仍需要更具體的技術調查與正式公告。

能否確定這次是哪一個駭客組織造成？

不能。漢來11月10日公告未揭露攻擊者身分、 完整入侵手法或全部資料流向。 在正式調查公布前， 不應將網路傳聞、其他資安事故的攻擊組織 或未查證技術細節視為既定事實。

如果之後有新公告，新聞應如何更新？

應在更新日期與資料截點下， 分別補入已確認的受影響資料、 人數、調查結果和改善進度。 不可把後來才公布的調查結果， 倒寫成11月10日董事會或公司重大訊息已經確認的事項。

結論：漢來商城資安事件已獲確認，消費者最需要防範後續假客服

漢來美食2026年11月10日晚間正式公告， 委外商城服務商CYBERBIZ發生資料庫未授權異常存取， 涉及部分消費者訂單資料。 漢來已啟動資安應變， 並透過簡訊及Email通知受影響者， 要求服務商進行安全檢視與改善。

另有葡萄王、台鹽、宏碁智新、 諾貝兒與黑松等企業陸續公告相關事件， 顯示共同服務商的資安風險 可能影響不同品牌的消費者信任。 不過，各家是否有實際個資外流及影響範圍， 仍應獨立查證。

目前不能自行宣稱所有會員的信用卡、 密碼或完整個資均已被竊取。 消費者應優先透過官方管道確認通知， 留意金融交易， 並拒絕依陌生客服要求操作ATM、 網銀或交出驗證碼。

對企業而言， 商城委外不是資料保護責任的終點。 是否能有效監督服務商、 釐清影響範圍並驗證改善成果， 才是此次事故最值得持續追蹤的問題。

漢來美食、CYBERBIZ資安事件常見問題（12題）

新聞來源：漢來、黑松、台鹽與其他企業公告及官方法規

本篇以各企業公開重大訊息為主要事實來源， 並參考中央社與iThome交叉查核； 假客服詐騙部分依刑事警察局官方宣導， 個資法採用個資會籌備處法規系統標示的有效版本。