91APP揭露遭自動化攻擊 承諾消費者財損全面補償
91APP（6741）於官網公布《91APP 2026 遭受駭客攻擊事件18天調查報告》。91APP自10月4日首次接獲客戶通報起，說明事件經過、根因、查核進度、防堵措施與補償承諾。91APP確立承諾，對經確認因本事件遭詐騙而受有財產損失的消費者，提供全面補償。
對品牌客戶，91APP已協助品牌向可能受影響的會員發送防詐通知，並將依個資法規定協助辦理正式通知；同時與各品牌個別商議受影響會員的補償措施，確認後陸續公布。
報告指出，Commerce Cloud 其中一座訂單資料庫於10月3日11時遭受AI自動化滲透工具攻擊而被非法存取，入侵行為已於10月14日晚間11時完全阻斷。本次事件僅涉及該座資料庫，Marketing Cloud、91APP Payments與iCHEF均不受影響；遭存取的是訂單資訊，其中並不包含信用卡等支付工具資訊。受影響範圍目前在數位發展部行政檢查指導下，由91APP與外部資安團隊進行深度查核，將以主管機關確認的結果為準，預計於下週向社會大眾報告。
91APP 於10月4日首次接獲客戶通報消費者收到詐騙訊息，隨即啟動資安盤查，初步未發現大規模外流證據；10月6日與該客戶協同分析，詐騙訊息中的個資與91APP及客戶端所持有的資料均有部分不符，當時無法認定來源，持續協查。10月7日單日再接獲5家品牌通報，進行內部資安事件通報並升級核查；10月8日成立緊急應變小組並決議委聘外部團隊，10月9日確認奧義智慧科技，10 月 10 日緊急召開專案啟動會議，並於連假期間擴大全系統盤查。10月14日上午外部團隊進駐深度調查，當晚確認攻擊軌跡與破口，立即將遭入侵工具下線、隔離網路、關閉資料庫對外連線、停用遭冒用帳號、更換金鑰與帳號，於晚間11時確認入侵完全阻斷；10月15日依個資法規定向主管機關通報並向客戶說明。
91APP董事長何英圻表示，在懷疑與確認之間，公司選擇先查明再通知，是為了避免在未確認前提供錯誤資訊；但結果讓品牌客戶和消費者承受了更長時間的不安與壓力。回頭看，10月8日成立緊急小組時，就應當同時提醒品牌，這是91APP的疏失。91APP向所有受到影響的品牌客戶與消費者致上最深切的歉意。並強調，「信任來之不易，保護資料安全是我們無可妥協的責任，91APP會負起相關責任，把事情處理到底。」
91APP表示，調查發現攻擊者使用 AI 自動化工具攻擊，系統內發現 ARTEX[1] 等工具痕跡；2026年9至10月間，南韓多家銀行、日本約 20 家企業及美國逾百家企業網站均遭同類工具攻擊。攻擊者透過 91APP一項未更新套件的內部效率工具（Appsmith）進入內部網路，自GitLab取得資料庫金鑰後入侵該訂單資料庫。91APP已移除該工具、更換所有內部系統權杖與資料庫帳密、重建GitLab權限、隔離測試與正式環境、限制主機與資料庫網段連線，並保留受駭主機軌跡供調查。91APP強調，攻擊工具的新穎不改變公司的責任，防護與修補管理未跟上攻擊速度，是公司必須檢討之處。
該報告為事件發生18天內的階段性調查結果。91APP將持續配合數位發展部行政檢查、每日回報處理與通知進度，並預計於下週更新進一步的調查結果，包括受影響範圍與系統改善進度。官網報告頁面亦將持續更新。