91APP Commerce Cloud資料庫遇自動化攻擊　商戶應先收緊帳戶防線

91APP表示，旗下 Commerce Cloud 資料庫遭自動化攻擊，部分資訊被非法擷取。公司稱已報警、委託第三方資安單位調查、通報主管機關並採取防護措施，現時攻擊情況已受控制；初步評估對營運沒有重大影響。

因此，現階段不宜把事件描述為已確認的大規模個資外洩，也無法據此判定個別用戶的風險。

真正要留神的是後續冒充訊息

即使攻擊已被控制，若外流資訊包含可用作辨識或聯絡的資料，騙徒日後仍可能以訂單異常、退款、補款、帳戶驗證或客服跟進為名接觸用戶。這是基於已知「部分資訊被擷取」所作的風險分析，並非目前已證實出現相關詐騙。

消費者收到涉及訂單或帳戶的電郵、短訊、通訊 app 訊息時，應避免直接點擊連結或提供一次性驗證碼；較穩妥的做法是自行開啟原有購物 app 或官方網站核實。若同一密碼亦用於其他服務，應優先更換，並啟用可用的多重驗證。

商戶宜先檢視高權限帳戶

對使用相關電商服務的商戶來說，短期重點是帳戶而非只等候公告：

• 為管理員、客服、訂單及付款相關帳戶更換獨特而強度足夠的密碼，並啟用多重驗證。
• 檢查帳戶權限，移除離職員工、外判人員及不再需要的存取資格，避免多人共用管理帳戶。
• 留意後台登入、收款資料、退款設定與異常訂單操作；發現可疑活動時保留紀錄並按平台渠道回報。
• 對前線客服建立核實流程，避免員工因偽造的「平台通知」而交出登入資料或驗證碼。

平台下一輪披露應交代甚麼

91APP已稱會透過電郵等渠道作反詐騙宣導，但用戶與商戶要評估實際風險，仍需更具體的事故資訊。後續公告尤其應說明資料類別、受影響對象與數量、公司如何通知相關人士、已採取哪些補救措施，以及用戶需要做甚麼。

這些資訊有助商戶決定是否要擴大密碼重設、權限覆核及客服防騙安排，也讓消費者分辨真正平台通知與借機行騙的訊息。接下來應觀察第三方調查結果，以及91APP會否披露更完整的受影響範圍與資料類型。

延伸閱讀

• AhsayCBS 漏洞已遭利用　舊修補不完整須再升級
• 41 年 IOCCC 再爆話題：怪到癲嘅 C code 點解仲值得工程師睇

AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。

---

參考來源

• iThome — 91APP雲端平臺資料庫Commerce Cloud遭自動化攻擊 — original report

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。