91APP稱訂單資料庫遭入侵 近480萬消費者或受波及
91APP表示，其 Commerce Cloud 的短期訂單資料庫曾遭非法存取，按最大可能範圍估算，2025年4月4日至2026年10月14日期間建立的訂單，或涉及1,329個品牌及4,798,255名消費者。公司稱資料庫保存18個月內的交易資料，部分資料已被竊取，但現時未能確認實際受影響的是哪些訂單。
最重要的限制是，這是91APP及其委託調查方所披露的結果；ARTEX攻擊鏈的說法、外洩訂單範圍及最終責任，仍有待更多獨立資料交叉核實。現有資料亦沒有顯示香港品牌或香港用戶已受影響。
外洩的是甚麼，未外洩的是甚麼
TechNews 科技新報報道／指出，91APP稱攻擊者透過一套第三方工具進入內部網絡，再入侵Commerce Cloud的一個訂單資料庫；公司於10月14日阻斷入侵。91APP把工具鏈與9月至10月在韓國、日本出現的一波ARTEX攻擊相連結，但這屬公司的調查判斷，不等同外界已完成歸因。
這降低了直接盜刷的風險，卻不代表風險很低：完整的聯絡與配送資料，加上購買紀錄，足以令假冒品牌、物流公司或客服的訊息更像真的。
訂單資料為何特別容易被用作詐騙素材
從消費者角度看，電商資料庫的價值未必只在付款資訊。騙徒若掌握收件人姓名、電話、地址，以及曾經下過甚麼訂單，便可編造「包裹派送失敗」、「補運費」、「訂單退款」或「商品缺貨改款」等情境。資料越貼近真實交易，收件人越容易放下戒心。
因此，曾向相關品牌購物的人士不宜只看短訊或電郵是否提及正確姓名、商品或地址。較穩妥的做法是自行打開品牌官方app或網站核對訂單；不要點擊訊息內的付款、退款或登入連結；遇到索取一次性密碼、卡資料或要求即時轉帳的「客服」，應另行經官方渠道求證。即使收到聲稱由91APP或品牌發出的通知，也應先核對寄件網域及官方公告。
第三方工具與通知流程的雙重考驗
事件亦反映品牌電商採用第三方平台及工具時的供應鏈風險。品牌可把網店、訂單與客戶流程交由平台整合，管理效率較高；但一旦平台內部系統或其連接工具成為入口，單一事故便可能同時牽動大量品牌及消費者。這不代表所有第三方服務都不安全，而是權限分隔、持續監測及對外通知速度，會直接影響事故的損害範圍。
TechNews 科技新報報道／指出，91APP承認初期調查偏重外部節點，未有同步從內部系統調查，令品牌客戶及主管機關在調查11天後才獲通報。公司表示將建立零信任架構、加入AI保護與檢測，並引入外部資源；這些承諾能否改善實際風險，仍要看權限管理、供應商審核和通報程序如何落實。
91APP稱會在獲品牌授權後，自11月2日起以電郵和短訊通知受影響消費者，並統一處理補償申請，申請期至2027年2月1日。由於公司尚未能逐筆判定外洩訂單，通知覆蓋率、品牌授權進度及消費者能否清楚辨別真偽通知，將是接下來值得留意的環節。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 91APP 訂單資訊外洩！波及千家品牌、480 萬名消費者，承諾全面負責 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
