台灣最大通路服務SaaS業者91APP*-KY(6741)資料庫於10月初遭到駭客入侵，導致旗下客戶消費者部分個人資料外洩，最大恐涉及1,329個品牌、479萬8255名消費者，包括全家行動購、寶雅、adidas、摩曼頓、PUMA、UNDER ARMOUR、The North Face、Timberland、日藥本舖等全都受害。
91APP還原事發經過，表示因第三方工具AppSmith存在漏洞，91APP未及時套用修補更新，導致駭客從此破口入侵，非法取得訂單資料。官方強調，遭駭的資料不包含信用卡、會員登入密碼，若是曾在2025年4月4日至2026年10月14日期間，使用91APP系統的品牌官網或App下單，就可能是此波攻擊的受害者。
由於91APP目前無法確定有哪些資料遭到竊取，官方承諾，不管消費者有沒有財產損失，只要個資遭到竊取都會賠償，預計將在11月2日正式公布申請流程，並寄送郵件或簡訊給此次受到影響的消費者。
91APP個資外洩！近480萬人受影響
91APP(6741)為台灣第一家掛牌上櫃的SaaS軟體服務公司，主要整合品牌方的電商與門市資源，升級零售服務。自2013年成立以來受到許多企業青睞，包括寶雅、康是美、PUMA、adidas、SKECHERS、Timberland等知名品牌都是旗下客戶。
不過，自10月初開始，陸續有品牌接獲消費者通知收到詐騙訊息，引爆資安危機。91APP於29日公布《91APP 被駭事件：25 天調查報告》，此次事件恐波及到1,329個品牌、近480萬名消費者。
資料如何外洩？時間軸一次看
還原整起事件經過，91APP於10月4日首次接獲客戶通報消費者收到詐騙訊息，隨即啟動資安盤查，初步未發現大規模外流證據；10月7日再接獲5家品牌通報，進行內部資安事件通報並升級核查，10月8日成立緊急應變小組並決議委聘外部團隊，一直到10月14日才確認攻擊軌跡與破口，並採取相對應措施。
91APP 董事長何英圻表示，選擇先查明再進行通知，是為了避免在未確認前提供錯誤資訊，卻讓品牌客戶和消費者承受了更長時間的不安與壓力。回過頭來看，10月8日成立緊急小組時，就應同步提醒品牌，這是91APP的疏失，向所有受到影響的品牌客戶與消費者致上最深切的歉意。
根據91APP與第三方資安公司奧義智慧科技的調查，91APP Commerce Cloud系統的其中一座訂單資料庫，於10月3日11時遭到ARTEX AI Agent自動化攻擊，造成消費者個資被非法存取，中斷了連續5,000天無資安事件的紀錄。
至於為何會出現破口？主要是因第三方工具AppSmith存在漏洞，91APP未及時套用修補更新，導致駭客從此破口進入內部網路，並從內部GitLab系統上找到其中一座訂單資料庫的金鑰成功入侵，非法取得訂單資料。
91APP個資外洩事件 時間軸
發現未授權之異常執行緒
擴大調查後，發現其中一座內部的 CI 主機，曾經在 10/3 有一支未授權執行緒的執行紀錄，研判 91APP 內部系統有個資外洩的可能性。
確認駭客攻擊軌跡
最終調查確認系統破口位置與駭客攻擊軌跡：還原時間點發生於 10/3，Commerce Cloud 其中一座訂單資料庫遭受非法存取。
今周刊 製作 | BUSINESS TODAY
外洩個資有哪些？密碼、信用卡資料安全嗎？
官方強調，本次事件僅涉及Commerce Cloud其中一座資料庫，Marketing Cloud、91APP Payments與iCHEF均沒有受到影響，遭存取的為訂單資訊，可能遭到存取的個人資料包含姓名、電話號碼、配送地址、電子郵件（如有填寫）及訂單紀錄；信用卡、會員登入密碼等皆不受到影響。
由於91 APP客戶眾多，據官方資料公告，最大可能涉及1,329個品牌、479萬8255名消費者，包括全家行動購、寶雅、adidas、摩曼頓、PUMA、UNDER ARMOUR、The North Face、Timberland、日藥本舖等全部都被波及。
官方承諾「沒被騙也會賠」！
怎麼知道個資有沒有流出？由於官方目前無法判定有哪些人的資料遭到竊取，因此91APP將範圍內的每一位消費者都納入通知與補償對象。若是曾在2025年4月4日至2026年10月14日期間，曾使用91APP系統的品牌官網或App下單，就可能在此次遭到存取的範圍內。
91APP承諾，無論是否有財產損失，只要是與本次個資外洩事件有關的損失，官方會協助已授權品牌統一受理消費者補償事宜。
◎ 有財產損失的消費者：若因此次個資外洩事件遭到詐騙，蒙受財產損失，財損將由91APP補償
◎ 沒有財產損失的消費者：即便沒有財產損失，只要士個資受到損害的消費者，一樣被列為通知及補償對象。
個資遭竊如何補償？登記方式一次看
若為此次事件的受害者要如呵申請賠償？91APP表示，即日起至2027年2月1日開放消費者專屬聯絡窗口，若有疑問或疑似受害的消費者可先行聯繫登記：
◎ 電話：(02) 7723-1622
◎ 電子郵件：servicetw@91app.com
官方表示，後續將搭配政府反詐騙政策與調查程序確立，個資外洩補償申請表將於11月2日上午11:00開放填寫。若取得品牌授權，官方將以電子郵件逐一通知此次事件受影響的消費者，若沒有電子郵件資料者，則以簡訊通知。
官方說明，若收到通知，即代表您在此次影響名單內，同時該購買品牌也授權91APP協助處理消費者補償事宜，屆時將提供正式登記入口。
官方提醒，官方電子郵件寄件網域為「@91app.com」，91APP不會要求消費者點擊通知連結填寫個人資料、加入LINE或操作ATM、提供帳號、密碼或金融資料等，若收到上述要求，請勿依指示操作，先透過服務窗口確認。
不只91APP受害！日本、韓國也遭駭客入侵
91APP表示，此次攻擊事件與今年9月、10月間，南韓多家銀行、日本約20家企業及美國逾百家企業網站遭到攻擊所使用的手法相同。
國家資通安全研究院指出，駭客透過中文開源AI滲透測試工具「ARTEX」，採用大型語言模型驅動之多代理架構，結合DeepSeek與Claude Code等語言模型，在數小時內自動完成系統偵察、漏洞嗅探、攻擊路徑規劃及指令植入等自動化攻擊。
而PHP網站開發程式語言更被發現2項重大資安漏洞，嚴重程度高達9.8分（滿分10分），光是這一個月以來的這波攻擊，就導致日本樂天集團、JR東海、JR西日本、JR九州、永旺集團及地方警察局等多筆個資外洩，甚至連信用卡、預付卡等資訊都遭到外流。
資安院呼籲，各機關與企業應優先檢視對外服務系統、供應鏈及委外環境，落實漏洞修補、存取權限控管及異常活動監測，並在最短時間內完成確認與處置，以降低遭受攻擊風險，提升整體資安防護韌性。
延伸閱讀：
收到「定期購」詐騙信別上當！91APP驚傳遭駭客攻擊、多家知名品牌受害…業者祭5措施因應
PHP是什麼？全球7成網站運作都靠它！爆重大資安漏洞「AI發現的」…多國網站關站，風險原因一次看
