今周刊編按：電商系統服務商91APP日前爆發重大資安事件，傳出新發展，有駭客在中國地下交易平台「長安不夜城」兜售全家、寶雅、康是美、無印良品訂單資料。駭客並宣稱與91APP有關，總共釋出790萬筆資料，總開價2997美元。
不過，相關數量目前仍是駭客單方面說法，尚無法確認資料真實性、完整性，以及是否全部與先前的資安事件有關。
資安專家指出，電商平台集中管理大量品牌訂單及消費者資料，一旦遭入侵，即使企業已阻斷攻擊、更換憑證及重建權限，遭取得的資料仍可能持續在地下市場流通。
這些疑似外流資料包含商品名稱、交易時間、配送資訊及訂單狀態，攻擊者可透過欄位交叉比對掌握消費者的購物情境，進而假冒品牌客服或物流業者，設計與真實交易高度吻合的詐騙訊息。提醒消費者留意，即使訊息能準確說出購買商品或訂單細節，也不代表對方身分可信。
雙十一前夕，駭客在中國大陸暗網「長安不夜城」兜售全家、寶雅、康是美、無印良品訂單資料。91APP日前遭駭後，其不少客戶資料遭竊，大陸駭客這次兜售4家企業客戶資料，宣稱與91APP有關，總共釋出790萬筆資料，總開價2997美元。
駭客日前運用ARTEX工具駭進91APP雲端資料庫，不少民眾資料因此外流。駭客11月7日在中國大陸地下交易平台「長安不夜城」兜售4項企業客戶資料，分別是全家行動購、寶雅、康是美、無印良品。
資安專家：未來必須關注兩個關鍵發展
其中，全家行動購總共240萬筆資料、開價999美元；寶雅240萬筆資料、開價999美元；康是美190萬筆資料，開價666美元；無印良品則是120萬筆資料，開價333美元。
而這次兜售的資料樣本中，資料涵蓋項目不只有姓名、電話等基本會員資料，也涵蓋訂單編號、消費者姓名、電話、收件地址、商品名稱、購買數量、單價、總金額、訂單日期、付款方式、配送方式及訂單狀態等欄位。資安專家分析，從資料欄位與內容來看，樣本具有實際交易紀錄的特徵。
4項兜售項目，總計790萬筆資料，總開價2997美元。不過，這些數量目前仍是駭客單方面聲稱，尚無法確認實際資料筆數、完整性，以及是否全部與91APP事件有關。
資安專家表示，若駭客這次公開的資料，的確來自遭入侵的電商系統，那麼，未來必須關兩項關鍵發展，第一，若攻擊者手中拿到的資訊，不只有消費者基本個資，還包括具體的購物內容與交易情境，可能會讓消費者面臨個資風險，並掀起新一波的精準詐騙；第二，受影響的企業，恐怕不限於單一品牌。
▲▼雙十一前夕，駭客在中國大陸暗網「長安不夜城」兜售全家、寶雅、康是美、無印良品訂單資料。駭客兜售寶雅240萬筆資料、開價999美元。圖／讀者提供
企業應重新確認影響範圍及是否有轉售
回顧91APP先前公布的調查結果，攻擊者利用ARTEX AI自動化滲透工具，進一步存取Commerce Cloud訂單資料庫。由於無法精確判定攻擊者實際存取了哪些訂單，依最大可能影響範圍估計，恐涉及1329個品牌、479.8萬名消費者，受影響的資料包括姓名、電話、收件地址、電子郵件（若有提供）及訂單紀錄。91APP也表示，資料庫不包含使用者密碼、信用卡號等付款資料。
資安專家指出，91APP公布受影響的消費者人數約479.8萬人，地下市場賣家宣稱的790萬筆，則是其所稱的資料筆數，兩者計算單位不同，不能直接視為相互矛盾，也不能據此認定地下市場資料已全部證實來自91APP事件。不過，電商平台集中管理大量品牌訂單及消費者資料，一旦遭入侵，即使企業已阻斷攻擊、更換憑證及重建權限，遭取得的資料仍可能持續在地下市場流通。
台灣資訊安全協會（TWISA）監事、竣盟科技總經理鄭加海指出，企業除了阻斷入侵，更應驗證整條攻擊路徑是否真正失效，回溯是否有其他金鑰、存取權杖或資料庫憑證遭讀取或複製，並比對地下市場樣本與內部資料，重新確認實際影響範圍及是否存在轉售情形。
消費者須留意詐騙訊息
值得警惕的是，疑似外流資料包含商品名稱、交易時間、配送資訊及訂單狀態，攻擊者可透過欄位交叉比對掌握消費者的購物情境，進而假冒品牌客服或物流業者，設計與真實交易高度吻合的詐騙訊息。
鄭加海提醒，這類以真實交易資料為基礎的高度精準情境式詐騙，將大幅提高社交工程攻擊的可信度，甚至進一步誘騙消費者交出帳號憑證、簡訊驗證碼或進行金融交易。企業應將資料遭濫用後的社交工程風險納入事件應變；消費者也須留意，即使訊息能準確說出購買商品或訂單細節，也不代表對方身分可信。
※本文授權自聯合新聞網，原文見此。
延伸閱讀：
台積電加入AI閉環投資 認購Anthropic、OpenAI股票
台積電10月營收飆5,869億元、年增近六成 全年營收挑戰5.6兆元
_20261027150550.jpg_280x210.jpg)
