91APP遭駭近480萬人！91app 事件始末與最新進展與補償申請指南
從Appsmith漏洞入侵到480萬人受害，核心爭議、官方調查與補償SOP全解讀
台灣零售雲端服務商91APP於2026年10月29日召開重大訊息記者會，董事長何英圻率領經營團隊公開鞠躬致歉，並公布《25天被駭調查報告》。針對受到廣泛關注的91app 事件始末與最新進展，官方確認系統遭到跨國自動化攻擊組織侵入，波及多達1329個品牌、近480萬名消費者個資。雖然信用卡與登入密碼未受影響，但官方已宣布全面負擔責任並啟動消費者補償申請機制。
本文將讓你學到
- 91APP董事長鞠躬致歉！調查報告公布受駭規模與外洩衝擊
- 從第三方開源工具Appsmith到資料庫！還原ARTEX入侵攻擊途徑
- 消費者最關切爭點、官方調查結論與具體自保行動對照
- 受影響消費者如何申請補償？4大防詐自保避坑操作指南
91APP董事長鞠躬致歉！調查報告公布受駭規模與外洩衝擊
2026年10月29日下午，零售軟體服務商91APP（股票代號：6741，91APP*-KY）於櫃買中心召開記者會。董事長何英圻與總經理楊明芳率主管向大眾鞠躬致歉。
官方在會中公布《91APP被駭事件：25天調查報告》，打破多數業者簡短說明的慣例，將受駭經過、技術缺失與處置時序向公眾清楚交代。
91APP是電商底層的SaaS系統商，專門提供品牌官方購物商城、訂單整合與會員管理。知名服飾、美妝與生活用品品牌多採用其Commerce Cloud系統。
由於大量電商共用同一套底層系統，一旦核心資料庫出現破口，影響層面便會穿透單一品牌界線，形成多個品牌客戶個資同步外洩的連鎖反應。
調查報告指出，本次資安事件影響範圍高達1,329個合作品牌。經系統清查，受波及消費者達479萬8,255人，規模相當龐大。
鑑識機構無法確認駭客每次讀取下載了哪些特定訂單。官方採取最嚴謹標準，將2025年4月4日至2026年10月14日期間的訂單全數列入受影響範圍。
外洩資料包含訂單姓名、電話、收件地址、電子郵件與訂購商品明細。最關鍵的信用卡號與密碼未外洩，因金流採第三方銀行符記化處理，未存完整卡號。
何英圻坦承，初期團隊將排查重心放在外部連線節點，花費11天才釐清破口竟在內部開發工具，導致初期對外通報與警示出現延誤。
從第三方開源工具Appsmith到資料庫！還原ARTEX入侵攻擊途徑
在技術鑑識中，91APP委託資安鑑識團隊奧義智慧科技（CyCraft Technology）進駐，透過日誌比對與封包軌跡，還原出攻擊者的完整滲透動線。
入侵事件的破口，源自內部研發團隊為提升作業效率所引進的開源低代碼工具Appsmith。該工具主要用於內部營運面板與數據查詢，屬於內部作業環境。
這套Appsmith系統因相依套件未能及時更新修補，殘留了已知的遠端程式碼執行安全漏洞。外部攻擊者利用這道裂痕，繞過外圍防禦植入惡意指令。
鑑識團隊在入侵軌跡中比對出特徵程式碼，確認攻擊來源具有ARTEX自動化攻擊組織的手法特徵，顯示屬於跨國組織化攻擊層次。
ARTEX屬於活躍於東北亞的自動化攻擊組織。南韓線上商城與日本雲端服務平台近期亦遭相同特徵攻擊鏈侵擾，顯示屬於區域性自動化掃描作戰。
取得Appsmith伺服器控制權後，駭客從內部程式碼管理平台GitLab中，非法擷取了存取雲端資料庫的金鑰與連線設定，順利取得核心權限。
憑藉非法取得的金鑰，攻擊者運用自動化排程指令，存取Commerce Cloud中存放18個月內線上交易的短期訂單資料庫，展開密集資料讀取動作。
2026年10月14日，監控系統在資料流向分析中捕捉到不尋常的批次讀取請求。資安小組當日全面阻斷異常通訊埠，並將Appsmith系統徹底隔離下線。
防堵漏洞後，91APP宣布全面改採零信任架構（Zero Trust Architecture）。內部所有微服務與資料庫落實最小權限存取與網路微切分段，阻斷橫向滲透。
官方同時導入AI異常行為監控模型。當系統出現非典型讀取或大流量下載指令時，模型將自動暫停權限並觸發告警，大幅縮短以往人工巡檢的應變時間差。
消費者最關切爭點、官方調查結論與具體自保行動對照
針對近480萬人受波及的重大外洩事故，消費者最關切自身財務安全與個資權益。以下依照官方調查報告與資安專業建議，整理關鍵爭點、事實與自保對照：
| 消費者核心關切問題 | 官方調查報告事實說明 | 消費者具體自保或求償行動方針 |
|---|---|---|
| 信用卡號是否外洩？會不會遭到盜刷？ | 未儲存於外洩資料庫中。金流資料由銀行第三方金流閘門符記化處理，信用卡號與安全碼零外流。 | 無需恐慌掛失信用卡。只需定期核對近兩期信用卡帳單明細，確認是否有非本人授權的小額扣款。 |
| 會員帳號與登入密碼是否遭駭客竊取？ | 登入密碼經過高規格單向雜湊演算法加密，駭客無法直接還原成明文密碼，不存在撞庫直接登入風險。 | 建議至常購物的品牌官網更新密碼，並避免在不同網站重複使用同一組慣用密碼。 |
| 接到自稱電商客服要求操作ATM或網銀？ | 姓名、電話與訂單明細確實外洩，詐騙集團能精準報出購買商品與金額，偽冒客服進行詐騙。 | 聽見「誤設分期付款」、「升級批發會員」、「操作ATM解除」等關鍵字，立即掛斷電話並撥打165查證。 |
| 91APP官方如何提供補償？需要提供帳密嗎？ | 官方承擔所有合作品牌受影響用戶的諮詢與補償，絕不會在通知信件中索取密碼或銀行驗證碼。 | 認明來自@91app.com的官方郵件，或於官方公布之專屬補償登記頁面提交申請，切勿點擊轉發連結。 |
| 沒有遭受詐騙財損，是否也能申請個資補償？ | 何英圻董事長承諾全面負責，不論消費者是否有實際金錢財損，只要名冊在影響範圍內皆可提出申請。 | 於2027年2月1日截止日前，透過官方專線或專屬線上登記通道填寫申請，維護自身法定權利。 |
受影響消費者如何申請補償？4大防詐自保避坑操作指南
確認事件衝擊後，消費者的首要任務是維護法定權益並築起防詐防線。91APP已公布補償機制與聯絡窗口，所有可能受到波及的民眾應依循官方指定流程辦理。
在申請資格方面，91APP採取全面概括認定標準。凡在2025年4月4日至2026年10月14日期間於受波及品牌下單者，不論有無實質財損，全由91APP統一受理補償。
補償申請的有效期限自即日起正式開跑，截止日期訂於2027年2月1日止。官方提供充分的寬限期進行查詢與核對，避免因資訊傳遞時差影響權利行使。
在通報流程上，91APP將於2026年11月2日起，在獲得各品牌授權後，主動以官方簡訊與電子郵件通知受影響消費者。官方網站亦將同步開放專屬查詢與申請入口。
消費者如有即時疑問，可透過以下官方管道直接聯繫諮詢，切勿聽信非官方第三方的轉介服務：
- 消費者諮詢專線：（02）7723-1622
- 專屬客服服務信箱：servicetw@91app.com
- 線上服務管道：91APP官方網站首頁線上客服系統
資安事件爆發後的數個月內，最實質的威脅集中在掌握外洩個資的詐騙集團。為了防範不法份子藉由精準個資進行二次傷害，消費者應確實執行以下4大防詐防護步驟：
- 步驟一：聽見特定金流話術，立即無條件掛斷電話
電商平台與銀行不會透過電話要求操作ATM或手機網銀解除設定。只要來電者提及「訂單誤設為24期分期」或「誤升級經銷商會員」，即為詐騙話術，請直接掛斷電話。 - 步驟二：警惕竄改來電號碼，辨識境外偽冒特徵
詐騙集團常利用VoIP網路電話竄改號碼。凡看見來電顯示開頭帶有「+886」、「+02」等字樣，自稱本土電商或銀行客服者，皆為典型竄改電話，請掛斷後自行向官網客服查證。 - 步驟三：切勿點擊非官方簡訊連結，防範釣魚惡意程式
詐騙簡訊常假借補償金發放名義附帶不明短網址。官方郵件發件網域必為「@91app.com」，且絕不會索取銀行帳號密碼。所有補償登記請手動在瀏覽器輸入官方網址進行。 - 步驟四：利用官方獨立管道查證，善用165反詐騙資源
若對訂單狀態存有疑問，請直接開啟品牌官方APP留言求證。若不慎輸入個人資料或轉帳，請立即撥打警政署「165」反詐騙諮詢專線，並通報往來銀行辦理圈存止付手續。
數位供應鏈的高度互聯帶來了便利，也放大了資安破口的連鎖衝擊。從開源套件版本管理到內部權限控管，每個技術細節都牽動廣大消費者權益。唯有落實自保查證動作，才能阻斷詐騙風險蔓延。