經濟日報｜2026.10.22 19:39
91APP*-KY（6741）近期傳出遭駭客攻擊，用戶資料外洩，用戶還收到大量詐騙信件。91APP 22日於官網公布《91APP 2026遭受駭客攻擊事件18天調查報告》，指出自10月4日首次接獲客戶通報，公司Commerce Cloud其中一座訂單資料庫於10月3日11時遭受AI自動化滲透工具攻擊而被非法存取，入侵行為於10月14日晚間11時完全阻斷。
91APP表示，事件僅涉及該座資料庫，Marketing Cloud、91APP Payments與iCHEF均不受影響。訂單資訊遭存取，不包含信用卡等支付工具資訊。受影響範圍目前在數位發展部行政檢查指導下，由 91APP 與外部資安團隊進行深度查核，將以主管機關確認的結果為準，預計下周向社會大眾報告。
91APP於10月4日首次接獲客戶通報消費者收到詐騙訊息，隨即啟動資安盤查，初步未發現大規模外流證據；10月6日與該客戶協同分析，詐騙訊息中的個資與91APP及客戶端所持有的資料均有部分不符，當時無法認定來源，持續協查。10月7日再接獲五家品牌通報，進行內部資安事件通報並升級核查。
91APP在10月8日成立緊急應變小組並決議委聘外部團隊，並在國慶連假期間擴大全系統盤查，14日上午外部團隊奧義智慧科技進駐深度調查，當晚確認攻擊軌跡與破口，立即將遭入侵工具下線、隔離網路、關閉資料庫對外連線、停用遭冒用帳號、更換金鑰與帳號；10月15日依個資法規定向主管機關通報並向客戶說明。
因過程中持續傳來消費者接到詐騙信件的不安回應，91APP董事長何英圻也表示，公司選擇先查明再通知，是為了避免在未確認前提供錯誤資訊；但結果讓品牌客戶和消費者承受了更長時間的不安與壓力。檢討應當在8日成立應變小組時就應同時提醒品牌客戶。他坦言這是91APP的疏失，除向所有受到影響的品牌客戶與消費者致上歉意外，並承諾負起相關責任，把事情處理到底。
91APP指出，發現攻擊者使用AI自動化工具攻擊，系統內發現ARTEX等工具痕跡，也是近期攻擊南韓多家銀行、日本約20家企業及美國逾百家企業網站的同類工具。攻擊者主要透過91APP一項未更新套件的內部效率工具（Appsmith）進入內部網路，自GitLab取得資料庫金鑰後入侵該訂單資料庫。91APP強調，防護與修補管理未跟上攻擊速度，是公司必須檢討之處。
91APP承諾，對經確認因本事件遭詐騙而受有財產損失的消費者，提供全面補償。消費者專屬聯絡窗口即日開放：電話 (02) 7723-1622、電子郵件 servicetw@91app.com。補償的認定與申請流程，將搭配政府反詐騙政策與調查程序確立後正式公布。對品牌客戶，91APP已協助品牌向可能受影響的會員發送防詐通知，並將依個資法規定協助辦理正式通知；同時與各品牌個別商議受影響會員的補償措施，確認後陸續公布。