← 轻量版首页 · 港台
91APP说被骇事件最多可能影响479万名消费者 补偿申请已开放 11月2日起通知
茉莉花综合报道 · 2026年10月20日 23:50
更新 · 10月30日 08:06 · 10月30日 08:06 更新：补上91APP两次调查报告：最多479万8255名消费者可能受影响，攻击从10月3日开始；补偿申请10月29日起开放，11月2日起通知消费者；标题相应修改。原标题：《91APP资料库遭骇 台湾数发部说部分资料确实被取走》
更新 · 10月20日 23:50 · 10月20日 23:50 首发。
电商技术服务公司91APP在10月29日公布被骇事件的25天调查报告：第三方资安公司调查确认，Commerce Cloud系统里一个存放18个月内交易资料的短期订单资料库遭非法存取，部分资料被窃取。因为无法判定具体涉及哪些订单，91APP按最大可能范围认定，2025年4月4日到2026年10月14日成立的线上订单涉及1329家品牌、479万8255名消费者，可能被存取的是姓名、电话、配送地址、电子邮件和订单纪录，不包括密码、信用卡和支付资料。
受影响的消费者不论有没有财产损失，都可以在2027年2月1日以前向91APP申请咨询和补偿；91APP说，11月2日起会在取得品牌授权后，用电子邮件和简讯通知每一位受影响的消费者，通知不会附链接要求输入资料。91APP的客户包括无印良品、宝雅、杏一和联华食品等品牌。董事长何英圻当天率主管鞠躬道歉；副总经理程开佑说，赔偿方案的细节还在研议，还无法估算赔偿金额。
91APP在10月22日公布的18天调查报告说，这个订单资料库10月3日遭AI自动化渗透工具攻击，入侵到14日晚上11点才完全阻断。4日公司第一次接到客户通报消费者收到诈骗讯息，7日又有5家品牌通报，14日外部团队确认攻击轨迹，15日向主管机关通报。29日的报告说，攻击者是通过91APP的一套第三方工具进入内部网络，再侵入订单资料库。何英圻在22日说，公司选择先查明再通知，是为了避免在还没确认前提供错误资讯；回头看，8日成立紧急小组时就应该同时提醒品牌。
台湾数位发展部数位产业署10月20日说，部分资料确实遭未经授权取得，19日已带着资安院和外部资安、法律专家到91APP行政检查，要查明骇客怎样取得资料、资料库存取权限和安全防护是否妥当、异常存取有没有被及时发现；如果违反个人资料保护法等规定，会依法处理。数发部当时还说，收到完整资料后会视情况依个资法罚款，已经收到数十件消费者投诉。
数产署今年已对两起个资事件开罚：今年5月疑似遭网络攻击的简讯平台EVERY8D，经营者互动资通被认定违反个人资料保护法第27条第1项，公司和代表人各被罚100万元新台币并限期改正；韩国酷澎约20万个台湾用户帐号的个资遭未授权接触，公司和代表人各被罚75万元。
茉莉花观察
我们的分析：这次出问题的不是消费者直接打交道的商店，而是替1329家品牌提供网店系统的技术公司；一处被攻破，许多品牌的顾客一起受影响，通知也得先经过各个品牌。这是因为，被纳入范围的479万多名消费者分属1329家品牌，91APP要先取得品牌授权，11月2日起才能直接通知他们。
不同看法：何英圻说，先查明再通知是为了避免提供错误资讯；91APP现在按最大范围通知，不论有没有财产损失都受理补偿。我们同意按最大范围通知、统一受理是负责的做法，但这不改变我们的看法。这是因为，按91APP自己的时间表，4日就接到第一宗诈骗通报，7日又有5家品牌通报；何英圻也说，8日成立紧急小组时就应该同时提醒品牌。
接下来要看什么：数发部会不会依个资法对91APP罚款。我们判断，到2027年3月31日，数发部会依个人资料保护法对91APP处以罚款。这是因为，今年EVERY8D和酷澎的个资事件，数产署都对公司和代表人开了罚，分别各罚100万元和75万元；这次数产署已经确认部分资料被取走，数发部也说收到完整资料后会视情况开罚。91APP说先查明再通知是为了不提供错误资讯；诈骗讯息却在91APP确认攻击的10天前，就已经寄到消费者手里。