91APP電商資料庫遭未授權存取　受影響人數未明，消費者先防釣魚簡訊與假客服

電商服務商91APP通報資料庫遭未授權存取，部分資料可能被取用。數位發展部數位產業署已派員行政檢查，要求業者釐清入侵途徑、受影響系統與資料範圍。91APP為多家零售品牌提供商務系統，事故波及面不能只用單一購物網站的資安事件理解。

現階段最關鍵的資訊仍不完整：究竟有多少品牌、多少會員受到影響，被取走的是姓名、電話、電郵、地址、訂單紀錄，或包含更敏感的帳務資訊，官方與業者尚未完整公布。沒有這些數字，消費者難以評估風險，也無法判斷是否需要更換密碼或提高金融帳戶警戒。

電商資料的危險不只在單一欄位，而在欄位組合。詐騙集團只要掌握品牌、購買時間、商品與聯絡方式，就能製作高度逼真的退款、補繳運費或會員升級訊息。受害者看到自己真實訂單，很容易誤以為訊息來自商家，進一步交出信用卡、網銀或簡訊驗證碼。

91APP應依品牌逐一通知受影響會員，而不是只發布模糊聲明。通知需要說明資料類型、可能風險、事件時間與可採取措施，也要提供可驗證的客服管道。若企業擔心揭露細節影響商譽而延後告知，等於把降低公關損失的代價轉嫁給消費者。

合作品牌同樣不能把責任完全推給平台。品牌是直接向會員蒐集資料的一方，選擇委外系統後仍有管理義務，包括權限最小化、資料保存期限、稽核紀錄與事故通報條款。若每家品牌保存的欄位不同，影響評估也必須分開進行，不能用一份通用說明帶過。

數位產業署的行政檢查應檢視是否存在自動化攻擊、帳號遭接管、介面漏洞或權限設定失當，也要確認資料是否加密及備份是否完整。企業可以基於防禦需要保留部分技術細節，但受影響範圍、改善期限與裁罰結果屬於公共資訊，不應無限期藏在「調查中」三個字後面。

支付卡號若由第三方金流代管，並不表示整起事件只剩低風險的會員資料。訂單、電話與地址足以讓詐騙者精準鎖定長者、高單價消費者或固定購買特定商品的人。業者應把資料分類、實際外洩欄位與風險分級說清楚，並與電信、銀行及警政單位共享詐騙樣態，讓可疑簡訊和收款帳戶更快被攔截。

帳號密碼若曾在不同網站重複使用，消費者也應立即更換，並開啟可用的雙重驗證。企業端則要檢查憑證是否遭竊、管理員帳號是否共用，以及外部介面有沒有速率限制。資安事故不是一次補洞就結束，入侵者可能已建立其他存取方式，至少需要一段時間的強化監控與第三方複驗。

消費者此刻可先把91APP合作品牌的退款、物流與帳務通知視為高風險訊息，不點簡訊連結、不依來電指示操作ATM或網銀，也不要交付一次性驗證碼。需要確認訂單時，應自行輸入品牌官網或使用原本的官方應用程式，電話則從帳單或網站重新查找。

台灣零售數位化讓中小品牌快速取得會員與支付工具，也把大量個資集中在少數服務商手中。集中化提高效率，資安事故時卻會一次影響眾多商家。主管機關若只針對事後通報開罰，而不要求大型平台定期演練、揭露稽核摘要與降低非必要資料保存，類似風險仍會反覆累積。