91APP遭AI自動化攻擊 公布調查報告：未更新第三方套件成破口、承諾補償消費者財損

電商服務平台91APP（6741）日前爆發資安事件，今（22）日公布《91APP 2026遭受駭客攻擊事件18天調查報告》，揭露此次攻擊路徑與原因，確認駭客利用未及時更新的第三方工具AppSmith漏洞進入內部網路，再透過GitLab取得訂單資料庫金鑰，非法存取部分訂單資訊。91APP表示，已於10月14日阻斷入侵，將對因此事件蒙受財損的消費者提供補償，並與受影響品牌協商後續會員補償措施。

91APP成立於2013年，主要提供品牌電商、D2C（直接面對消費者）及OMO（線上線下整合）等服務，協助零售與餐飲品牌整合商務、廣告、POS及支付等解決方案。此次駭客攻擊事件從10月3日發生、10月4日接獲首次通報，到10月22日公布完整調查報告，凸顯電商平台第三方工具管理、內部權限控管及資料庫金鑰保護的重要性。

91APP指出，此次事件僅涉及Commerce Cloud其中一座訂單資料庫，Marketing Cloud、91APP Payments及iCHEF均不受影響，遭存取的資料為訂單資訊，不包含信用卡等資訊。公司也強調，事件發生後已採取系統隔離、權限調整及更換資料庫帳密等措施，持續強化資安防護。

根據91APP公布的調查時間軸，公司10月4日首次接獲客戶通報，當時初步盤查尚未發現大規模資料外流證據，並持續追查詐騙訊息來源。隨著10月7日接獲更多類似通報，公司擴大調查範圍，10月8日成立緊急應變小組，並委請第三方資安團隊奧義協助調查。

調查至10月14日出現重大進展。91APP發現內部一座CI主機曾於10月3日出現未授權執行緒紀錄，進一步還原攻擊軌跡後，確認Commerce Cloud其中一座訂單資料庫遭非法存取。公司隨後阻斷入侵，並於10月15日依規定通報數位發展部。

至於攻擊原因，91APP表示，調查在系統內發現ARTEX攻擊痕跡，並確認主要破口為第三方工具AppSmith存在漏洞，公司未及時套用修補更新，使攻擊者得以進入內部網路，再從內部GitLab系統取得其中一座訂單資料庫的金鑰，進而非法取得訂單資料。

為防止類似事件再度發生，91APP已移除遭利用的AppSmith工具、更換內部系統權杖及資料庫帳密、限制CI主機與資料庫網段連線，並停用遭冒用帳號、重建GitLab權限，同時保留受駭主機相關紀錄供後續調查。

在消費者權益方面，91APP承諾，對於因本次事件造成財損的消費者，將由公司提供補償；針對個資遭外洩的消費者，則將協助品牌客戶進行會員溝通，相關簡訊與電子郵件通知費用由91APP承擔，並與品牌個別協商補償方案。

不過，91APP表示，目前受影響品牌及會員人數仍待第三方專業團隊進一步確認，詳細補償辦法將於確認後陸續公布。公司也將配合數發部行政查核與改善措施，持續回報系統處理進度及客戶、消費者通知情形。