國內零售SaaS龍頭91APP於10月中爆發重大資安事件，數十家合作品牌客戶資料庫遭駭，真實訂單外流最後成詐騙切入點。詐騙集團宣稱「定期購方案設定錯誤」、「升級VIP批發會員」或「訂單重複扣款」，要求消費者操作網銀或取消自動扣款。然而，比起系統漏洞，更讓品牌錯愕的是通報上的時差，讓窗口在不知情下淪為消費者投訴的擋箭牌，週末更為此大加班，主管機關數發部也緊急啟動行政檢查。《遠見》取得內部信件與受害品牌說法，帶你掌握事件始末。
91APP詐騙事件，出什麼事？
上週五（10月16日），國內零售雲端軟體平台91APP（九易宇軒，6741）在公開資訊觀測站發布重大訊息，表示旗下核心Commerce Cloud資料庫遭到外部「自動化攻擊」，部分資訊遭到非法擷取。
91APP的說明信，為何讓品牌反彈？
根據《遠見》取得、91APP提供給受影響品牌的說明信件提到：「本公司經偕同第三方公正單位深入調查後，查知Commerce Cloud資料庫於10月3日11時遭受自動化攻擊，部分資料疑似遭非法存取……本公司並已向警方報案。」
也就是說，系統早在10月3日就已遭到攻擊，但91APP遲至10月16日清晨才發布重大訊息對外說明。
這段長達近兩週的通報落差，迅速在品牌端引發反彈。
一位受影響的電商業者也向記者證實，16日當天早上才接到91APP的聯繫通知。
「平常說為了資安，把權限都抓在他們那邊，凡事都要申請、都要他們同意，連開個API都要收高額系統費。我們雖然覺得不方便，但也願意配合，」他向《遠見》抱怨。
這位公司負責人表示，週末客服電話跟粉專直接被灌爆，「現在感覺全部都是『讓品牌去坦*』。」（註：坦為社群常見用語，指「扛起責任」，被迫站在第一線承擔罵名。）
另一位電子零售業從業者表示，直到10月16日之前，91APP的窗口有因為其他業務聯繫，但並沒有向他們提及遭受攻擊、資安外洩。
「真的很生氣，畢竟消費者不會有第三方平台出錯的認知，會第一時間怪罪品牌。」
他表示，雙十一檔期在即，但因為遇上個資外洩，目前公司暫停購物檔期業務，將重點放在回覆客服訊息，自行蒐證並檢舉假帳號。
「91APP不只延遲告知，讓各品牌毫無反應時間，也影響品牌商譽，遭質疑（品牌）公關危機處理能力。」身為品牌方員工，他認為此舉非常自私。
另一位電商行銷經理認為，91APP在業界收費不低，平常也都以保護為名限制廠商，結果出事後所有消費者權益損失都得由品牌承擔。
他表示，現在品牌的處理方式，就是逐一向消費者致歉，撰寫公告、通知資安狀況，同時請受影響消費者報警處理，目前也還在等91APP回應。
這段「通報時差」，在法律專家眼中可能踩到治理紅線。
椽智商務科技法律事務所主持律師林國清指出，資安實務上沒有人能保證百分之百不被入侵，不過在訴訟或行政調查中，法官與主管機關檢驗業者是否有過失的重要指標之一，正是事故發生後，業者如何查明事實、通知當事人。
「現行個資法規對事故的通知有明確要求。企業一旦發現疑似事故，建議儘速釐清是否涉及個資外洩、進行盤點並依法通知受影響當事人。」
林國清表示，部分企業面對資安事故或許會抱持「大事化小」的僥倖心態，甚至企圖拖延隱瞞。
「但在法律上，業者若未適當通知消費者，而消費者在毫無戒心下被騙，未適當通知的紀錄可能會成為法院認定業者違反通知義務的證據，並可能影響法院對賠償責任的判斷，反而對於業者更不利。」
針對通知延遲與受影響規模等爭議，《遠見》今早去信91APP公關部門，中午亦撥打電話聯繫，總機表示會留資料給公關部門。
至截稿前（19:00），並未收到91APP具體回覆。
91APP在官方公告中則強調，公司已採取強化全天候監控、委託第三方專家鑑識、落實網路隔離等五大措施，並依法通報主管機關與通知受影響客戶。
91APP詐騙事件，哪些品牌受影響？
隨著事件延燒，受害名單正如同滾雪球般擴大。
在台灣，91APP是零售D2C（Direct to Consumer）與OMO（虛實融合）的代名詞，知名品牌多委由其代建官網與管理CRM會員系統。
至截稿前，已有數十家品牌陸續發布防詐公告，或者有消費者反映收到詐騙信件，橫跨服飾、美妝、生技、食品等領域。
包含：全家行動購、adidas、CAFE!N、快車肉乾、新普利、臭味滾ODOUT、hoi! 好好生活、PAUL & JOE、益比喜、聯夏食品、中化裕民健康商城、Allre歐瑞生醫、雙全生活館、滿心munsin、荷麗美加、Urban Units、ELEMIS、買Targus、德創生技、愛車褓母、airbubu、CleanClean、凱娜小棉條兒俱樂部、志光保成、大侑 Diet-U、天藍小舖、EASY SHOP、康軒親子網、愛富發、AirealLand年零、WEDAR薇達、樂入優選、CY JOYCE 喜悅、mini matters、rezzer、Columbia Sportswear、尖端出版、LOVFEE、ASICS、mySelect優品選、摩曼頓、東海模型、唯有機、S'AIME、MT可乘、Unicorn、STORY故事銀飾、相信音樂、娘家、Tapazo等。
其中，滿心munsin為上櫃公司，今日（10/19）也發布重訊，表示因為91APP發生資安事件，因此接獲消費者反映個資外洩。
根據目前消費者分享的信件內容，詐騙集團宣稱「定期購方案設定錯誤」、「升級VIP批發會員」或「訂單重複扣款」，要求消費者操作網銀或取消自動扣款。
91APP詐騙事件，品牌怎麼反應？
就影響範圍而言，「91APP一開始跟我們說是近半年，」前述電商負責人透露，但團隊比對消費者收到的詐騙訊息後，發現2025年的歷史訂單資料可能也已經外洩。
另一名電商從業人員也表示，91APP向該品牌說明的影響範圍僅涵蓋最近兩個月，但實際比對消費者提供的詐騙信件，相關訂單同樣可追溯至2025年。
「消費者的姓名、電話、信箱、地址、曾購買過的商品均有在假冒信件中露出。」
除了外洩範圍，平台與品牌之間的責任如何劃分，也成為另一個爭點。
根據記者取得的一份合約，其中載明，任一方若造成個資外洩，洩漏方應負責處理解決衍生事宜，並承擔相關損失，包括律師費與致歉費用。
不過，此份合約版本較舊，91APP目前官網公開的服務條款則載明：「雙方僅就因故意或過失違反本服務條款時，依本服務條款之規定對他方負賠償之責任。如有非可歸責於任一方之原因，導致該方無法依約履行者，該方不負違約責任，惟應即時通知他方。」
對中小品牌而言，選擇大型SaaS服務商，本意就是希望藉由平台的技術與資安能力降低風險，一旦平台本身出現資安事件，品牌端能做的其實相當有限。
想不同國際共同創辦人陳仰聖分享，自上週四起，陸續有大量客戶回報收到詐騙訊息，「尤其對方用了多個LINE帳號假冒客服，這是比較讓人擔心的地方。」
他指出，多數中小企業甚至小微企業，根本無力自行建立完整資安團隊，因此選擇規模較大、資安投入較深的SaaS服務商，本身就是企業投入電商資安的一種方式。91APP目前是台灣規模較大的電商服務商之一，費用也相對較高，品牌自然會期待平台能提供更完整的資安防護。
「但遇到這樣的狀況，我們其實也很難再有更具體的改善方向。」
陳仰聖表示，目前想不同尚未與91APP討論求償，現階段會先確認是否有客戶實際受騙，並視情況協助報案。所幸截至目前，尚未接獲客戶因此遭受財務損失的案例。
至於合約責任，他指出，系統服務商通常會針對第三方惡意攻擊訂有責任限制條款。但資安攻防始終存在「道高一尺、魔高一丈」的問題，許多防護機制也是在一次次遭受攻擊後逐步補強，「只是這個循環的成本非常高。」
什麼是自動化攻擊？AI讓駭客轉向SaaS「以量取勝」
究竟什麼是「自動化攻擊」？趨勢科技台灣區暨香港區總經理洪偉淦解析，所謂自動化攻擊，關鍵在於攻擊者背後有AI系統協同運作。
「現在許多開源大語言模型，如Llama、千問等，只要經過微調，安全護欄很容易繞過，」洪偉淦指出，駭客只要對模型下指令，過去需要耗費數天的人工弱點掃描、後門測試與權限探測，AI幾秒鐘內就能自動執行完畢。
「攻擊的頻率與廣度遠超過以往，這徹底改變了駭客的商業模式。」
洪偉淦進一步分析，過去大型企業防護嚴密、攻擊成本高；如今在AI協助下，攻擊門檻大幅降低，駭客開始轉向防護相對脆弱的中小型企業以及掌握大量客戶資料的SaaS平台。
「駭客不再需要算投資報酬率，而是『以量取勝』進行大規模掃描。打下一家集中管理大量數據的SaaS平台，就算受害業者不付贖金，把資料丟到暗網賣給詐騙集團，獲利空間也極大。」
這也打破了產業界長期以來的迷思。「大家常以為資訊服務商的資安就一定做得很好，但實務上很多中小型系統商不是政府管轄的關鍵基礎設施，甚至抱持『我只是小公司不會被打』的心態，資安投資往往嚴重不足。」
洪偉淦強調，企業必須理解雲端的「責任分工（Shared Responsibility）」架構，除了要求供應商落實資料庫實體隔離與加密，更要堅守「資料最小化」原則，定期銷毀過期訂單，而不是把多年歷史個資無限期堆在雲端。
TRAPA Security創辦人兼執行長趙正宇則提到，判斷一家企業是否真正重視資安，不能只看口號。
「最直接的就是看資安預算占營收多少，以及有沒有專責的資安團隊。」除此之外，企業是否設有漏洞通報機制、過往資安事件的揭露與處理方式，以及核心技術團隊是否具備資工或資安背景，也都是重要觀察指標。
這起跨品牌的重大資安事故，也讓主管機關出手。
數位發展部公關窗口表示，已將本案列入重大矚目案件，並於今早正式啟動現場實地行政檢查。
先前《遠見》曾因報導個資外洩議題，採訪數位發展部數位產業署平台經濟組組長施偉仁，當時他解釋，針對引起社會高度關注的重大案件，數發部會直接邀請資安院與外部專家學者到公司現場，實地查核其是否符合《個人資料檔案安全維護管理辦法》，這就是所謂的行政檢查。
到現場時，「必要時更會要求業者開啟系統讓專家檢視，限期提出改善佐證，若未改善將依法裁罰。」
施偉仁另外補充，平時數發部便會定期針對業者行政檢查，目前一年至少會去十間企業。
消費者自救：沒被騙到錢也能求償？
面對來勢洶洶的詐騙訊息，許多消費者除了氣憤，更多的是「沒被騙走錢，難道只能自認倒楣」的無奈。
對此，林國清解釋，不一定要產生實質財損才能求償，依《個人資料保護法》第29條規定，只要企業未妥善保管個資導致個資外洩、侵害當事人權益，即使最後詐騙沒有得逞，消費者仍可依法請求損害賠償。
「沒有被騙走錢，不代表個資外洩造成的侵害就不算數。實務上已有消費者未主張遭詐騙的財產損失，仍就個資遭侵害而獲判賠償的案例。」
不過，真正的挑戰在於，消費者必須證明資料確實從該電商平台流出。
林國清建議，消費者接到可疑電話、簡訊或信件時，除了應予謹慎查證、避免受騙以外，同時可以盡可能保存證據，包括通話錄音、簡訊截圖、電子郵件原始檔與通聯紀錄，以確認詐騙者究竟掌握哪些資訊。
第二步，則是回頭比對自己的真實訂單。包括購買日期、商品品項、金額、配送方式、地址、付款資訊或訂單備註，都可能成為判斷資料來源的重要線索。
「例如對方能精準講出你哪一天買了什麼特定品項、特定的配送地址備註，這些細節若與某平台的訂單紀錄吻合，就有助於追查資料來源。」
林國清表示，有些消費者在不同網站使用不同暱稱或設定不同的背景資訊，接到可疑訊息時較容易辨認可能的外洩來源，但即使沒有這類特殊設定，也可以比對多項訂單細節、業者公告及其他受害者的經驗，逐步釐清資料流出的脈絡。
最後，消費者如果考慮為維護權益採取行動，除了保存證據，也可以評估向品牌或平台要求說明是否發生個資外洩、影響範圍與後續處理方式；若查證確實存在違法蒐集、處理、利用或保管不當等情形，也能進一步依法主張權益。
另外，洪偉淦從日常防詐提醒，無論詐騙集團講出的個資多麼精準，消費者都應秉持「零信任」原則：「與其事後懊惱，不如養成習慣：收到任何涉及扣款、轉帳或訂單問題的訊息，一律不點連結、不撥信上電話，直接開啟瀏覽器搜尋該店家的官方電話反向查證，這才是最根本的防護。」
雙11購物大檔期即將到來，91APP這起資安事件敲響了台灣數位零售的警鐘。
當企業享受SaaS隨租即用的規模效益時，若在通報透明度、權限隔離與供應鏈治理上交了白卷，最終賠上的，將是全台灣消費者最珍貴的信任。
