91APP 階段性調查結果還原資安事件經過，向品牌客戶與消費者致歉
上櫃公司 91APP（91APP*-KY）22 日在官網公布《91APP 2026 遭受駭客攻擊事件 18 天調查報告》，以階段性調查結果說明事件經過、根因、查核進度、防堵措施及補償承諾。
報告指出，Commerce Cloud 其中一個訂單資料庫在 10 月 3 日 11 時遭受 AI 自動化滲透工具攻擊而被非法存取，入侵行為在 10 月 14 日晚間 11 時完全阻斷。
調查發現，攻擊者使用 AI 自動化工具攻擊，系統內發現 ARTEX 等工具痕跡。攻擊者透過 91APP 一項未更新套件的內部效率工具（Appsmith）進入內部網路，自 GitLab 取得資料庫金鑰後入侵訂單資料庫。91APP 已移除這項工具、更換所有內部系統權杖及資料庫帳密、重建 GitLab 權限、隔離測試與正式環境、限制主機與資料庫網段連線，並保留受駭主機軌跡供調查。
91APP 指出，這起事件僅涉及 Commerce Cloud 的訂單資料庫，其他如 Marketing Cloud、91APP Payments 及 iCHEF 均不受影響；遭存取的是訂單資訊，其中不包含信用卡等支付工具資訊。
值得一提的是，ARTEX 是一款開源的滲透測試框架，能運用任何模型，自動化執行各種攻擊性工作流程，幾乎不需要人為干預。ARTEX 預設輸出語言為英文，也能切換成繁體中文、韓文、日文或西班牙文。10 月就有公開報告指出攻擊者開始使用 ARTEX，針對如韓國金融機構製造個資外洩事件，Microsoft Threat Intelligence 也辨識出多個地理區域的攻擊者利用 ARTEX 進行攻擊。
▲ 事件時間軸一覽，10 月 4 日接獲首次通報，直至 10 月 14 日確認遭入侵後阻斷並通報。（Source：AI 生成）
回顧事件發生經過，91APP 在 10 月 4 日首次接獲客戶通報消費者收到詐騙訊息，啟動資安盤查，但初步未發現大規模外流證據。10 月 7 日再接獲 5 家品牌通報，隨即升級查核。10 月 8 日成立緊急應變小組並決議委聘外部團隊，隔日確認由奧義智慧科技擔任，10 月 10 日緊急召開專案啟動會議。10 月 14 日上午外部團隊進駐調查，當晚確認攻擊軌跡與破口，立即將遭入侵工具下線、隔離網路、關閉資料庫對外連線、停用遭冒用帳號、更換金鑰與帳號，同日晚間 11 時確認入侵完全阻斷，在此過程已經經過 10 日，品牌客戶被迫發送防詐通知，承受來自消費者遭受訂單偽造、詐騙等巨大壓力。
91APP 在 10 月 15 日依規定向主管機關通報並向客戶說明，接著 10 月 16 日清晨進一步發布重大訊息對外說明。
「在懷疑與確認之間，我們選擇先查明再通知，是為了避免在未確認前提供錯誤資訊，結果讓品牌客戶和消費者承受更長時間的不安與壓力。」91APP 董事長何英圻表示，「回頭看，10 月 8 日成立緊急小組時，就應當同時提醒品牌，這是 91APP 的疏失，我們向所有受到影響的品牌客戶與消費者致上最深切的歉意。」
91APP 對經確認因這起事件遭詐騙而受有財產損失的消費者，將會提供全面補償。補償認定與申請流程，將配合政府反詐騙政策與調查程序確立後公布。消費者專屬聯絡窗口即日開放，包含電話 (02) 7723-1622、電子郵件 servicetw@91app.com。
最後，91APP 持續配合數位發展部行政檢查、每日回報處理與通知進度，預計下週向社會大眾報告進一步調查結果，包括受影響範圍與系統改善進度。
（首圖來源：pixabay）