91APP 入侵鏈揭 AI 自動化攻擊如何放大電商風險
91APP 公布階段性調查，指其 Commerce Cloud 一個訂單資料庫於 10 月 3 日遭非法存取，至 10 月 14 日深夜才完成阻斷。受影響資料屬訂單資訊，91APP 表示不包括信用卡等支付工具資料；Marketing Cloud、91APP Payments 及 iCHEF 則不在本次事件範圍內。
不過，這仍是未完成的調查。TechNews 科技新報 報道所引述的內容主要來自 91APP 報告，當中的 AI 自動化滲透工具痕跡與入侵鏈，仍應等待獨立調查或主管機關資料交叉核實。
由一個內部工具通向訂單資料庫
按 TechNews 科技新報 報道，91APP 在系統中發現 ARTEX 等工具痕跡，並認為攻擊者先利用未更新的內部效率工具 Appsmith 進入內部網絡，再從 GitLab 取得資料庫金鑰，最終存取訂單資料庫。
這條路徑的警號，不只在於單一軟件未更新。若內部工具可接觸敏感網段、程式碼平台保存了可直接使用的資料庫憑證，而不同環境之間又缺少足夠隔離，攻擊者只要突破其中一層，便可能把有限權限逐步擴大。AI 自動化工具的意義在於可加快偵察、嘗試與串連步驟，令防守方更難單靠人工分析追上節奏；但現階段不宜將其視為已證實的唯一成因。
91APP 表示已移除涉事工具、更換內部系統權杖和資料庫帳密、重建 GitLab 權限，並將測試與正式環境隔離、限制主機與資料庫網段連線。這些措施反映修補漏洞只是第一步，憑證的存放與權限範圍、以及網絡橫向移動的限制，同樣決定事故會否由單點失守變成資料庫入侵。
商戶要把「訂單資料」視為詐騙風險
事件最早浮現的訊號是消費者收到詐騙訊息。TechNews 科技新報 報道指出，91APP 在 10 月 4 日接獲首次客戶通報，10 月 7 日再有五個品牌反映情況；外部調查團隊於 10 月 14 日確認攻擊軌跡後，當晚才完成阻斷。91APP 董事長何英圻承認，公司在 10 月 8 日成立緊急小組時，應同步提醒品牌客戶。
對使用電商系統的零售商而言，訂單資料即使不含支付卡資料，仍可能讓假冒訊息更像真：騙徒可利用客戶曾下單、品牌名稱或配送情境作為誘餌。因此，商戶在調查未完前也應及早向客戶說明已知風險與官方聯絡渠道，並提醒不要按可疑連結、不要向短訊或來電人士提供一次性驗證碼或付款資料。消費者若收到與訂單相關的催款、改址或退款訊息，較穩妥的做法是自行開啟商戶 app 或官方網站核對訂單，而非跟隨訊息內的連結。
開發與營運團隊可優先檢查甚麼
由目前披露的入侵鏈推論，電商及開發團隊可先集中檢查幾個高風險交界：
- 為面向內部的工具建立更新清單，追蹤已知漏洞及補丁狀態，避免把「非核心」系統排除在修補流程外。
- 盤點 GitLab 等開發平台內的金鑰、權杖與資料庫連線資料，撤銷不再需要的憑證，並縮小其權限與有效範圍。
- 分隔測試、開發與正式環境，限制主機對資料庫的網段連線，減少入侵者橫向移動的空間。
- 為異常登入、憑證讀取及大量資料查詢設定監察與告警，保留足夠日誌，以縮短從發現徵兆到確認事故的時間。
- 預先準備客戶通報與防詐騙訊息流程，讓品牌在事實仍待核實時，至少能提供清晰、可操作的安全提醒。
91APP 表示會配合行政檢查並每日回報處理及通知進度，預計於下週交代受影響範圍與系統改善進度。接下來較值得關注的，是調查能否釐清實際資料影響，以及相關補償與品牌客戶通知安排能否有效減低後續詐騙損失。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 91APP 階段性調查結果還原資安事件經過，向品牌客戶與消費者致歉 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
