電商ERP莫筆克遭駭！SHOPLINE緊急更換API金鑰，果果能量、彼蛋白交易資料受影響，假客服「分12期扣款」詐騙怎麼防？

莫筆克科技遭駭：電商資安風險從購物網站延伸至第三方ERP

台灣電商產業近期接連傳出資安警訊。 消費者最擔心的，通常是自己的姓名、電話、 住址及購物明細是否會被不明人士取得。 不過，這次莫筆克科技事件所凸顯的， 並不是單一購物網站首頁遭竄改， 而是商家背後使用的訂單管理系統也可能成為資安缺口。

莫筆克科技提供雲端ERP與多通路管理服務， 協助商家集中處理訂單、商品庫存、進銷存及出貨紀錄。 對商家而言，使用ERP可以減少重複輸入資料， 但大量訂單資料在外部系統集中後， ERP的存取權限與安全防護便直接影響消費者。

根據iThome於2026年11月4日報導， 莫筆克科技已確認有主機遭未經授權執行惡意指令， 攻擊者可能由品牌官網服務入口進入。 由於商家可能將其他電商通路的資料同步到ERP， 受影響範圍不能只看單一品牌網站。

但目前尚未有完整資料， 可以確認所有受到存取的資料、受影響商家總數， 以及最終資料外洩規模。 查看iThome調查報導。

莫筆克什麼時候發現系統異常？10月底展開調查，11月3日公開事件

依莫筆克科技及合作品牌公開的說明， 事件於10月底安全性檢查過程中受到注意， 後續確認有主機出現未經授權的惡意指令執行。 受影響品牌公告提及，主要破口已於10月31日完成修補並持續監測。

不過，公開資訊對發現異常和修補時間的細節 並不完全一致。 例如iThome引述業者說法， 同時出現10月31日發現異常紀錄， 及10月30日下午修補主要破口的描述。 在尚未取得完整事件鑑識紀錄之前， 不能自行推算精確入侵起點、攻擊者停留時間或修補耗時。

主要破口完成修補，有助於限制相同方式持續存取， 但不代表先前可能遭取得的資料能夠自動收回。 消費者仍應防範利用購物資訊進行的冒名客服詐騙。

SHOPLINE也被駭了嗎？官方表示平台本身未遭入侵，已全面更換相關API Token

由於部分使用莫筆克ERP的商家同時使用SHOPLINE開店， 外界容易將開店平台與ERP系統混為同一個遭駭目標。 但兩者的技術角色不同。

SHOPLINE於11月3日公開說明， 本次事件發生在第三方ERP端， SHOPLINE平台本身未遭入侵。 接獲通報後，已成立應變小組、 完成相關資料盤查， 並全面更換相關串接金鑰（API Token）。

因此，不能把這起事件寫成 「SHOPLINE整個平台被駭」。 不過平台本身未遭入侵， 也不代表透過API同步到外部ERP的訂單資料 不可能受到第三方事故波及。

SHOPLINE也向iThome說明， 商家可依營運需求自行與ERP廠商簽約， 平台提供API串接機制， 不等於直接管理ERP內部所有資料處理流程。 查看SHOPLINE官方應變公告。

ERP是什麼？為什麼購物網站的訂單資訊會同步到另一家公司？

ERP為Enterprise Resource Planning， 中文常稱企業資源規劃系統。 在電商環境中，ERP常負責訂單、 庫存、採購、出貨、對帳及多通路管理。

一家品牌可能同時經營官方網站、 其他購物平台、社群銷售及實體門市。 如果每個通路都獨立管理， 工作人員需要反覆核對資料。 使用ERP串接，可以集中處理部分資訊。

每家商店的授權範圍不同， 不能認定所有ERP都持有完整信用卡號碼。 但姓名、電話、配送地址、商品名稱及訂單金額， 即使沒有信用卡號， 仍可能被不法人士用於更具說服力的冒名通知。

「資料庫遭查詢」等於所有顧客資料都已外洩嗎？四種資安狀態不能混用

莫筆克與受影響品牌的公開說明中， 提及未授權指令、資料庫查詢與嘗試外傳跡象。 這些都屬於嚴肅的資安問題， 但不代表每個資料欄位、每一筆訂單 都已確認成功外傳。

目前兩家公開公告的品牌確認 官網交易紀錄列入影響範圍， 但仍在核對個別顧客、 資料類型、訂單期間及數量。 因此本篇使用「資料受影響疑慮」 與「交易紀錄列入影響範圍」等用語， 不自行宣稱完整信用卡資料外洩。

果果能量與彼蛋白受到什麼影響？兩品牌公告交易紀錄列入受影響範圍

2026年11月3日， 果果能量與彼蛋白均於各自官網發布 資安事件說明與顧客協助公告， 確認使用莫筆克科技的訂單及出貨管理服務。

兩家品牌已公開說明， 不等於只有兩個品牌受影響。 不同商家可能有不同同步權限、 訂單期間及資料保存設定； 因此不能在完整調查公布前， 自行把所有莫筆克客戶都列為已確認資料外洩者。

品牌公告亦提醒， 即使陌生訊息能說出姓名、 購買品項或金額， 也不能據此證明對方是官方客服。

假客服為什麼知道購物資訊？「分12期扣款、重複訂閱」是常見詐騙話術

比一般陌生詐騙簡訊更難辨識的是， 冒名客服可能夾帶真實購物資訊。 果果能量與彼蛋白均提醒， 近期有人以「定期購」、 「重複訂閱」或「分12期扣款」 為由發送不實通知。

接著再要求顧客加入陌生LINE、 聯繫所謂銀行專員、 提供驗證碼或操作ATM。 這類手法利用「今天不處理就會扣款」 製造緊迫感， 誘導消費者離開原本可信任的交易管道。

但目前也不能斷定每一則 冒名客服通知都直接使用本次莫筆克事件資料。 訊息的實際來源與資安事故間是否具有直接關聯， 仍需證據支持。

收到「重複訂閱、12期扣款」通知怎麼辦？消費者6步驟自保

1. 01
   先停止操作陌生連結

   不加入訊息指定的LINE、WhatsApp，不開啟可疑退款或取消扣款頁面。

2. 02
   自行開啟原購物網站查訂單

   確認原購物紀錄及付款方式，不依假通知顯示的訂單資訊判斷。

3. 03
   透過官方客服查證

   從品牌官網尋找聯絡方式，不回撥可疑訊息提供的電話。

4. 04
   不提供金融敏感資料

   包含網銀密碼、完整信用卡號、簡訊OTP與其他一次性驗證碼。

5. 05
   保留訊息與交易證據

   保存原始郵件、截圖、來電時間、聯絡帳號及任何要求付款的紀錄。

6. 06
   已提供資料或付款就立刻聯繫銀行

   請銀行評估停卡、限制交易等措施，撥打165諮詢；有財損時儘速報警。

165可以協助諮詢與報案流程， 但撥打165詢問不等於已完成正式報案。 若有財產損失，應依警方程序完成案件受理。 對已洩露OTP或信用卡資料的民眾， 不需要等待商家客服營業或完整鑑識報告才聯繫銀行。

SHOPLINE更換API Token有什麼用？能降低舊授權風險，但不能收回已取得資料

API是應用程式介面， 讓購物平台、ERP與其他外部服務 依權限交換資訊或執行操作。 API Token則是驗證存取權限的憑證之一。

如果外部系統發生資安事件， 原本合法核發的存取憑證可能面臨濫用風險。 因此更新、撤銷或輪替相關金鑰， 是合理且重要的風險控制措施。 但不能因此推論此次所有Token都已遭竊。

SHOPLINE官方已表示相關串接金鑰完成更換； 其他第三方ERP、物流、CRM或行銷系統的授權， 仍應由各商家與服務商依實際使用情況盤點。

電商商家如何自查ERP及API安全？6步驟盤點第三方服務與資料權限

此次事件值得所有使用第三方管理服務的電商業者 重新確認自己授權哪些系統存取訂單， 即使使用的是其他開店平台也一樣。

1. 01
   盤點全部第三方服務

   包含ERP、物流、會員、CRM、客服、自動行銷及報表工具。

2. 02
   確認有無使用莫筆克服務

   查閱合約、外掛、App安裝紀錄、同步設定及供應商通知。

3. 03
   核對API Token及必要權限

   檢查舊金鑰是否已更新、未使用的授權是否需要撤銷，遵循平台文件操作。

4. 04
   保存並審閱存取紀錄

   注意大量訂單匯出、異常登入、短時間密集查詢與權限變動。

5. 05
   確認受影響資料與通報義務

   向服務商索取事件日期、資料欄位、訂單期間及正式鑑識結果，依適用法規辦理。

6. 06
   建立顧客通知及防詐處理流程

   公告可信的客服入口、蒐集可疑通知、承接案件並持續更新處理進度。

上述步驟不代表所有商家都應立即關閉全部API。 若訂單、庫存及出貨依賴串接， 未經評估直接停用可能造成營運中斷。 確認受到影響的商家， 應與資訊維運及服務商共同安排處理順序。

技術人員可進一步參考 SHOPLINE API Keys及Open API Access Token文件， 核對自身所使用的API版本、授權方式與權限設定。

姓名、電話、收件地址與信用卡資料會外洩嗎？目前不能把「可能持有」當成「確認遭竊」

ERP可能保存哪些資料， 取決於商家實際啟用的功能、 API授權範圍、物流整合與保存設定。 常見訂單資訊包含姓名、電話、地址、 商品品項、數量、金額及付款狀態。

詐騙者知道購物品項或訂單金額， 不代表已取得完整信用卡資料。 但只要購物紀錄可能被冒用， 民眾仍應提高警覺， 特別留意要求提供OTP、金融資料、 解除分期或操作ATM的訊息。

莫筆克事件與91APP、1shop或Cyberbiz資安事件有關嗎？沒有足夠證據可證明同源

近期台灣電商資安新聞陸續提到 91APP、1shop、Cyberbiz與meepShop等業者。 由於都涉及電商資料， 外界容易將不同事件視為同一攻擊。

iThome指出，91APP先前調查特定詐騙資料時， 曾發現部分資訊與客戶共同使用的ERP資料較符合， 因此一度追查ERP端的風險。 不過91APP當時未公開該ERP業者名稱。

因此，目前不能直接宣稱 「91APP與SHOPLINE遭同一駭客攻破」、 「莫筆克是所有近期電商個資事件的共同來源」， 或「全部雲端ERP都已被入侵」。

若要確認不同事件具有共同攻擊者， 仍需要比對技術特徵、攻擊時間、 系統紀錄及其他鑑識證據。

電商個資出問題，品牌、開店平台與ERP誰負責？須依實際資料處理關係判斷

消費者購物時通常只看到品牌官網， 不一定知道後面還有開店平台、 ERP、物流、金流與客服系統。 這些服務可能分別處理不同資料。

品牌負責接單、履約與顧客服務； 開店平台提供網站及後台工具； ERP可能協助集中管理訂單及庫存。 當事件發生於第三方服務商， 品牌也仍需要重視顧客通知及後續協助。

果果能量與彼蛋白已在官方公告中表示， 將持續承接受影響顧客查詢、 要求服務商保存紀錄， 並追蹤調查及改善結果。

從個人資料保護制度來看， 各方責任取決於蒐集、處理、 利用及委託關係、法規要求、 可歸責情形與實際損害。 不能單憑新聞中的廠商名稱， 就斷言誰已確定違法或必須賠償固定金額。

API金鑰更換後就完全安全了嗎？處置、調查與防詐是三個不同階段

更換API Token有助於降低舊授權憑證 後續被濫用的風險， 是此次SHOPLINE已公開的防護措施之一。 但不能因此宣稱所有調查程序結束。

對消費者而言， 若曾在相關品牌購物， 可以多留意帳單與陌生客服通知； 但在沒有其他異常證據前， 也不需要直接推論所有金融帳戶都已遭控制。

平台安全不代表電商供應鏈都安全：第三方授權、資料保存與顧客通知是重點

這起事故與一般網站首頁遭竄改不同， 真正值得關注的是第三方資料管理系統 可能集中保存來自多個銷售通路的交易資訊。

即使開店平台本身未遭入侵， 商家在外部系統中的資料副本 仍可能面臨額外風險。 因此商家不能只檢查網站HTTPS、 後台登入及定期更新， 還需要知道有哪些第三方服務、 授予多少權限及保留多久資料。

更重要的是， 當外部服務商發生事件時， 是否能快速確認資料範圍、 及時撤銷不必要授權、 通知受影響者並提供官方客服。

對消費者而言， 最重要的結論是： 陌生人知道真實購物資訊， 仍不能證明他就是品牌客服。 無論是否已確認資料外洩， 都不應依照陌生通知提供驗證碼、 登入網銀或轉帳到指定帳戶。

莫筆克ERP事件時間軸：10月底發現異常，11月3日公開應變

1. 10月底
   安全性檢查發現異常

   莫筆克進一步調查主機紀錄。

2. 10/30–31
   主要破口修補

   公開說明的精確時序有差異，仍待完整紀錄。

3. 11/03
   莫筆克公布資安事件

   說明未授權指令及後續調查情況。

4. 11/03
   SHOPLINE公開應變

   表示平台未遭入侵，相關API Token已更新。

5. 11/03
   兩家品牌公布顧客協助

   果果能量及彼蛋白公告交易紀錄受影響情形。

6. 11/04
   第三方ERP風險引發討論

   iThome追蹤跨平台訂單同步資料。

7. 11/05
   影響規模仍待核實

   顧客人數、資料欄位及實際外傳範圍待確認。

莫筆克遭駭、SHOPLINE與品牌資料安全15項事實查核

可以依目前公開證據狀態篩選。表格內「已確認」與「未證實」不能視為相同結論。

目前顯示全部15項查核。