電商開店平台 91APP 訂單資料庫日前遭駭，發布《91APP 被駭事件：25天調查報告》。初估最大影響範圍涵蓋 1,329 個品牌、約 479.8 萬名消費者。
遭存取的資料包含姓名、電話、配送地址、電子郵件與訂單紀錄。91APP 強調，外洩內容不含信用卡卡號與會員登入密碼，超商取貨訂單也不含配送地址。
名單上的品牌涵蓋全家行動購、寶雅、康是美、台灣無印良品、adidas、PUMA、UNDER ARMOUR、The North Face、Timberland 與日藥本舖等。其中，台灣無印良品初估約 18 萬名會員受波及；全家便利商店亦證實旗下「全家行動購」部分會員資料遭非法擷取，但評估對財務與營運尚無重大影響。
30天多達五家服務商接連引爆
整起風暴始於 10 月 3 日，91APP 的 Commerce Cloud 平台中一座訂單資料庫遭遇自動化攻擊。公司隔日接獲第一起客戶通報，8 日成立緊急應變小組，直到 14 日才確認入侵軌跡並完成阻斷。
11 月初，另一家電商開店平台 Cyberbiz（順立智慧）亦傳出資料庫遭未經授權存取；保健品牌葡萄王旗下的「購健康」商城於 11 月 2 日發現異常，4 日隨即公告訂單與消費者個資疑似外洩；有機通路棉花田也在 3 日晚間公告系統出現異常存取，正清查是否波及個資。同日，電商 ERP 系統商莫筆克科技（Mallbic）遭駭，開店平台 Shopline 隨即緊急更換相關 API 金鑰，使用該 ERP 匯入資料的商家恐同步受害。
11 月 4 日晚間，連鎖餐飲龍頭王品集團發布重大訊息，指出子公司萬鮮經營的「王品瘋美食」購物網，其委外服務廠商系統出現異常資料存取。被駭的不是王品自有主機，而是外租系統，至於該廠商身分，至今仍未公開。
破口不在資料庫，而是鑰匙被拿走
91APP 於 10 月 22 日公布的調查報告揭露，資料庫本身的驗證機制從未被攻破，核心破口在於內部採用的第三方開發工具 Appsmith 出現漏洞，且未及時套用修補程式。
駭客藉此漏洞潛入內部網路，隨後在 GitLab 系統中取得該座訂單資料庫的金鑰，進而以「合法授權身分」調閱訂單。
91APP 指出，此次遭遇的是「AI 自動化攻擊」，系統中更採集到中國開發者發布的 AI 滲透測試工具 ARTEX 痕跡，顯示攻擊者正利用 AI 工具自動掃描漏洞並規劃入侵路徑。
個資外洩的後續效應已迅速在市面發酵。根據《數位時代》查證，包括 CAFE!N、快車肉乾、2nd STREET、摩曼頓、布朗博士、媽媽好與 OB 嚴選等品牌，皆已遭詐騙集團冒名。手法多以「訂單重複扣款」、「保留訂單」或「定期扣款已成立」為誘餌，誘導消費者點擊惡意連結、加入假冒的 LINE 帳號甚至直接轉帳，部分詐騙信件中更精準列出消費者的真實姓名、電話、住址與歷史訂單細節。
法定通報責任在品牌，資訊掌控權卻在服務商
數位發展部數位產業署於 10 月 15 日接獲 91APP 通報後，19 日會同國家資通安全研究院及外部專家啟動行政檢查，釐清攻擊路徑、存取權限與偵測機制的妥適性，並確認是否涉及違反《個人資料保護法》。
然而，這場事件暴露出台灣在資安法規與監理制度上的兩大結構性盲點：
第一，權責嚴重倒錯。依現行《個資法》規範，發生個資外洩時，必須在 72 小時內通報主管機關並通知受害當事人，法定責任完全落在第一線「蒐集資料」的品牌端。然而，事故調查進度、受害規模與外洩名單，卻全鎖在後端的技術服務商手中。以台灣無印良品為例，直至 10 月 29 日才接獲 91APP 正式通知，外洩名單已在駭客網絡流通26 天。
第二，跨產業監理多頭真空。作為獨立專責機構的「個人資料保護委員會」，至今仍停留在籌備處階段，組織法尚未完成立法程序；憲法法庭所要求設立獨立監督機制的期限（2025 年 8 月 11 日）更早已逾期。在缺乏單一專責機關的情況下，主管機關只能多頭分治：電商服務歸數發部、銀行金流歸金管會。面對逾四百萬名消費者的個資曝險，現行《個資法》對情節重大者僅能開罰 15 萬至 1,500 萬元罰鍰。