91APP揭露遭自動化攻擊，承諾消費者財損全面補償
2026-10-22
91APP（6741）今日於官網公布《91APP 2026 遭受駭客攻擊事件 18 天調查報告》（網址：https://91app.com/91app-202610-security-incident/），自 10 月 4 日首次接獲客戶通報起，說明事件經過、根因、查核進度、防堵措施與補償承諾。報告指出，Commerce Cloud 其中一座訂單資料庫於 10 月 3 日 11 時遭受 AI 自動化滲透工具攻擊而被非法存取，入侵行為已於 10 月 14 日晚間 11 時完全阻斷。本次事件僅涉及該座資料庫，Marketing Cloud、91APP Payments 與 iCHEF 均不受影響；遭存取的是訂單資訊，其中並不包含信用卡等支付工具資訊。受影響範圍目前在數位發展部行政檢查指導下，由 91APP 與外部資安團隊進行深度查核，將以主管機關確認的結果為準，預計於下週向社會大眾報告。
10 月 4 日接獲首次通報，10 月 14 日確認遭入侵後即阻斷並通報
91APP 於 10 月 4 日首次接獲客戶通報消費者收到詐騙訊息，隨即啟動資安盤查，初步未發現大規模外流證據；10 月 6 日與該客戶協同分析，詐騙訊息中的個資與 91APP 及客戶端所持有的資料均有部分不符，當時無法認定來源，持續協查。10 月 7 日單日再接獲 5 家品牌通報，進行內部資安事件通報並升級核查；10 月 8 日成立緊急應變小組並決議委聘外部團隊，10 月 9 日確認奧義智慧科技，10 月 10 日緊急召開專案啟動會議，並於連假期間擴大全系統盤查。10 月 14 日上午外部團隊進駐深度調查，當晚確認攻擊軌跡與破口，立即將遭入侵工具下線、隔離網路、關閉資料庫對外連線、停用遭冒用帳號、更換金鑰與帳號，於晚間 11 時確認入侵完全阻斷；10 月 15 日依個資法規定向主管機關通報並向客戶說明。
91APP 董事長何英圻表示：「在懷疑與確認之間，我們選擇先查明再通知，是為了避免在未確認前提供錯誤資訊；但結果讓品牌客戶和消費者承受了更長時間的不安與壓力。回頭看，10/8成立緊急小組時，就應當同時提醒品牌，這是 91APP 的疏失。我們向所有受到影響的品牌客戶與消費者致上最深切的歉意。信任來之不易，保護資料安全是我們無可妥協的責任，91APP 會負起相關責任，把事情處理到底。」
AI 自動化工具攻擊，破口為內部效率工具
調查發現攻擊者使用 AI 自動化工具攻擊，系統內發現 ARTEX 1等工具痕跡；2026 年 9 至 10 月間，南韓多家銀行、日本約 20 家企業及美國逾百家企業網站均遭同類工具攻擊。攻擊者透過 91APP 一項未更新套件的內部效率工具（Appsmith）進入內部網路，自 GitLab 取得資料庫金鑰後入侵該訂單資料庫。91APP 已移除該工具、更換所有內部系統權杖與資料庫帳密、重建 GitLab 權限、隔離測試與正式環境、限制主機與資料庫網段連線，並保留受駭主機軌跡供調查。91APP 強調，攻擊工具的新穎不改變公司的責任，防護與修補管理未跟上攻擊速度，是公司必須檢討之處。
確立消費者財損全面補償承諾，專屬窗口即日開放
91APP 確立承諾：對經確認因本事件遭詐騙而受有財產損失的消費者，提供全面補償。消費者專屬聯絡窗口即日開放：電話 (02) 7723-1622、電子郵件 servicetw@91app.com，有疑問或疑似受害的消費者可先行聯繫登記。補償的認定與申請流程，將搭配政府反詐騙政策與調查程序確立後正式公布。對品牌客戶，91APP 已協助品牌向可能受影響的會員發送防詐通知，並將依個資法規定協助辦理正式通知；同時與各品牌個別商議受影響會員的補償措施，確認後陸續公布。
下週提出進一步調查報告
本報告為事件發生 18 天內的階段性調查結果。91APP 將持續配合數位發展部行政檢查、每日回報處理與通知進度，並預計於下週向社會更新進一步的調查結果，包括受影響範圍與系統改善進度。官網報告頁面亦將持續更新。
消費者專屬聯絡窗口
電話：(02) 7723-1622
電子郵件：servicetw@91app.com
- ARTEX 為 AI 自主滲透測試系統（AI Autonomous Penetration Testing System），可由 AI 自動搜尋系統漏洞、規劃入侵路徑，並進一步執行攻擊與竊取資料。 ↩︎