台湾数位发展部数位产业署10月20日说，电商技术服务公司91APP的Commerce Cloud商务平台资料库遭到自动化攻击，部分资料确实被未经授权取走，但涉及哪些个人资料、多少人受影响、多少笔资料，还要进一步调查。数产署10月19日带着资安院和外部资安、法律专家到91APP进行行政检查。
91APP的客户很广，包括无印良品、宝雅、杏一和联华食品等品牌；数产署要求它尽快盘点被取走的资料内容、涉及的品牌业者和消费者，按调查结果通知受影响的人。上周末，91APP的电商客户和消费者收到冒名发出的诈骗信件，数发部说已收到数十件消费者投诉。数产署提醒，接到自称购物平台或商家、说订单异常要退款或重新验证账户的通知，要先通过原本使用的官方网站或App查证，不要点不明链接，也不要提供密码和简讯验证码。
按数发部的说法，91APP在10月14日发现遭到攻击，15日向个人资料保护委员会筹备处通报，16日发布公告。91APP在16日的重大讯息中说，攻击者非法取走部分资讯，公司已委请第三方资安单位协助调查、向警方报案，攻击的情况已经得到控制，初步评估对公司营运没有重大影响。有些电商业者认为，91APP实际被骇的时间可能早于10月14日（未经证实），这一点还要数发部协助调查才能厘清。
- 2026年10月14日91APP发现Commerce Cloud资料库遭到自动化攻击
- 2026年10月15日91APP向个人资料保护委员会筹备处通报
- 2026年10月16日91APP在股市公开资讯观测站发布重大讯息
- 2026年10月19日数产署带资安院和外部专家到91APP行政检查
- 2026年10月20日数发部说部分资料确实被未经授权取走，受影响人数还要调查
数据：台湾数位发展部的说明和91APP的重大讯息
91APP还在整理相关数字，最急需的统计资料会在7天内交给数发部，其余资料在30天内补齐。数发部说，收到完整资料后，会视情况依个人资料保护法处罚，也应该会再安排第二次行政检查。数产署说，这次行政检查要弄清楚骇客怎样取得资料、91APP的资料库存取权限和安全防护是否妥当、异常存取有没有被及时发现，以及有没有其他系统或资料受到影响。
今年5月底，企业简讯平台EVERY8D疑似遭骇客攻击，服务一度中断，也传出用户个人资料疑似外泄。数产署6月2日会同国家通讯传播委员会做实地行政检查，7月22日认定经营平台的互动资通公司违反个人资料保护法第27条第1项，对公司和代表人各罚100万元新台币，并限期改正。
茉莉花观察
这一节是茉莉花的看法，依据是上文的事实。
我们的分析这次出问题的不是消费者直接打交道的商店，而是为许多品牌提供网店系统的技术公司；一家公司的资料库被攻破，无印良品、宝雅、杏一等多个品牌的顾客都可能受影响。91APP在10月14日发现攻击，16日在股市公告，可是上周末收到冒名诈骗信的电商和消费者，没有得到91APP的说明。
不同看法91APP说，它已委请第三方调查、报警并依法通报，攻击的情况已经得到控制；数发部也说，受影响的人数和资料笔数还没有查清。我们同意规模还不能下结论；但诈骗信已经寄到消费者手里，提醒和说明不必等到数字查清。
我们的预判91APP交齐资料以后，数发部会不会依个资法罚款。我们判断，到2027年3月31日，数发部会依个人资料保护法对91APP处以罚款。今年EVERY8D的事件，数产署6月2日行政检查，7月22日就对公司和代表人各罚100万元新台币；这次数产署已经确认部分资料被取走，数发部也说收到完整资料后会视情况开罚。91APP对投资人说营运没有重大影响，收到诈骗信的却是它的电商客户和这些网店的消费者。
