零售雲端巨頭 91APP 訂單資料庫遭駭，官方最新調查坦承個資外洩，恐波及全家行動購、adidas 等 1,329 家品牌、近 480 萬人。「91APP 到底是什麼？我有買過嗎？」許多民眾對此感到困惑，《NOWNEWS今日新聞》整理遭駭客攻擊事件的最新調查報告與消費者補償方案細節，官方承諾無論有無遭詐騙受損，皆全面受理賠償。
🟡91APP是什麼？未更新套件淪為致命破口
「91APP」是台灣最大品牌直營（D2C）與虛實整合（OMO）零售雲端龍頭，包括全家行動購、adidas、摩曼頓、CAFE!N、快車肉乾等知名品牌，其官方網站與 App 皆由 91APP 代建並維護背後系統。諷刺的是，該公司才剛公布 9 月
合併營收達 1.94 億元、前 9 月累計 16.58 億元，雙雙改寫歷史新高，並高調宣布轉型為「AI Agent」企業級解決方案；未料隨即遭 AI 駭客攻陷，中斷了長達 5,025 天無資安事件的紀錄。
官方最新根因調查顯示，致命漏洞在於內部一套第三方內部工具「AppSmith」存在弱點且未及時更新修補，成為駭客突破外圍防線的關鍵破口。
▲91APP為眾多知名零售品牌背後的電商系統推手，包含全家、寶雅與adidas等皆名列其中。（圖／翻攝自91APP官網）
🟡事件究竟如何發生？駭客入侵到阻斷時間軸
91APP 委由第三方資安公司「奧義智慧科技」深入調查，正式還原整起被駭事件的 25 天關鍵時間軸：
10 月 3 日（遭駭入侵）：駭客利用 AI 自動化滲透測試工具 ARTEX，藉由未更新的 AppSmith 漏洞潛入內網，並在內部 GitLab 翻出金鑰，非法存取存放 18 個月交易紀錄的訂單資料庫。
10 月 4 日（初次接獲通報）：品牌客戶首次通報消費者收到詐騙訊息，因當時詐騙個資與系統不完全吻合，初期調查重心誤判為外部 ERP 系統。
10 月 7 日（通報激增）：市場詐騙訊息持續增加，連非客戶也接獲類似訊息，官方緊急升高資安核查。
10 月 8 日（成立應變小組）：正式成立緊急應變小組，決議委聘外部專業團隊奧義智慧全面進駐調查。
10 月 14 日（查獲破口並阻斷）：於內部 CI 主機發現 10 月 3 日有一支未授權異常執行緒，正式還原攻擊軌跡並阻斷非法存取。
10 月 15 日至 16 日（通報主管機關）：依法向數位發展部通報個資外洩，並於公開資訊觀測站發布重大訊息；數發部後續亦啟動實地行政檢查。
10 月 29 日（鞠躬致歉公布調查）：董事長何英圻率主管公開鞠躬致歉，公布完整調查報告並承諾負起全責補償。
▲91APP 公布完整事件時間軸，還原自 10 月 3 日遭駭至 10 月 14 日成功阻斷的調查歷程。（圖／翻攝自91APP官網）
🟡我有中？誰受影響？姓名訂單外洩不含密碼
究竟消費者該如何判斷自己「有沒有中」？91APP 表示，遭存取的是 Commerce Cloud 短期訂單資料庫，由於無法逐筆判定具體外洩哪些訂單，官方以「最大可能範圍」認定：凡於 2025 年 4 月 4 日至 2026 年 10 月 14 日期間，曾於合作的 1,329 家品牌官網或 App 下過線上訂單者，皆在受影響名單內，人數上看 479.8 萬人。
外洩個資包含：姓名、電話號碼、配送地址（超商取貨者無地址）、電子郵件與購買訂單紀錄。官方特別強調，會員密碼、信用卡號與支付金流資訊皆不在該資料庫內，並未外洩。目前詐騙集團常藉掌握的真實訂單品項與時間，假冒客服以「定期購設定錯誤」、「升級批發VIP」、「重複扣款」等話術行騙，民眾接獲此類要求操作網銀或 ATM 的電話切勿理會。
🟡沒被騙也能申請賠？官方全面受理負責到底
91APP 董事長何英圻承諾由平台全權負責，補償方案更是業界罕見的「全面受理」：
無財產損失者（個資受損）：消費者即使「沒有被騙、未產生財損」，只要個資在名單內，一律受理損害補償（具體金額與認定標準正與主管機關及品牌研議中）。
有財產損失者（不幸遭詐騙）：因本事件受騙匯款造成財物損失者，應立即向警方報案並聯絡銀行止付，後續財損金額由 91APP 提供補償。
官方表示，11 月 2 日起將主動透過「@91app.com」官方網域信件或簡訊通知受影響用戶，且正式通知「絕不會附帶連結要求輸入帳密或個資」。補償申請自即日起一路受理至 2027 年 2 月 1 日止，線上登記專屬表單預計於 11 月 2 日正式開放，民眾亦可透過客服專線 (02) 7723-1622 或信箱（servicetw@91app.com）洽詢。
我是廣告 請繼續往下閱讀
「91APP」是台灣最大品牌直營（D2C）與虛實整合（OMO）零售雲端龍頭，包括全家行動購、adidas、摩曼頓、CAFE!N、快車肉乾等知名品牌，其官方網站與 App 皆由 91APP 代建並維護背後系統。諷刺的是，該公司才剛公布 9 月
合併營收達 1.94 億元、前 9 月累計 16.58 億元，雙雙改寫歷史新高，並高調宣布轉型為「AI Agent」企業級解決方案；未料隨即遭 AI 駭客攻陷，中斷了長達 5,025 天無資安事件的紀錄。
官方最新根因調查顯示，致命漏洞在於內部一套第三方內部工具「AppSmith」存在弱點且未及時更新修補，成為駭客突破外圍防線的關鍵破口。
91APP 委由第三方資安公司「奧義智慧科技」深入調查，正式還原整起被駭事件的 25 天關鍵時間軸：
10 月 3 日（遭駭入侵）：駭客利用 AI 自動化滲透測試工具 ARTEX，藉由未更新的 AppSmith 漏洞潛入內網，並在內部 GitLab 翻出金鑰，非法存取存放 18 個月交易紀錄的訂單資料庫。
10 月 4 日（初次接獲通報）：品牌客戶首次通報消費者收到詐騙訊息，因當時詐騙個資與系統不完全吻合，初期調查重心誤判為外部 ERP 系統。
10 月 7 日（通報激增）：市場詐騙訊息持續增加，連非客戶也接獲類似訊息，官方緊急升高資安核查。
10 月 8 日（成立應變小組）：正式成立緊急應變小組，決議委聘外部專業團隊奧義智慧全面進駐調查。
10 月 14 日（查獲破口並阻斷）：於內部 CI 主機發現 10 月 3 日有一支未授權異常執行緒，正式還原攻擊軌跡並阻斷非法存取。
10 月 15 日至 16 日（通報主管機關）：依法向數位發展部通報個資外洩，並於公開資訊觀測站發布重大訊息；數發部後續亦啟動實地行政檢查。
10 月 29 日（鞠躬致歉公布調查）：董事長何英圻率主管公開鞠躬致歉，公布完整調查報告並承諾負起全責補償。
究竟消費者該如何判斷自己「有沒有中」？91APP 表示，遭存取的是 Commerce Cloud 短期訂單資料庫，由於無法逐筆判定具體外洩哪些訂單，官方以「最大可能範圍」認定：凡於 2025 年 4 月 4 日至 2026 年 10 月 14 日期間，曾於合作的 1,329 家品牌官網或 App 下過線上訂單者，皆在受影響名單內，人數上看 479.8 萬人。
外洩個資包含：姓名、電話號碼、配送地址（超商取貨者無地址）、電子郵件與購買訂單紀錄。官方特別強調，會員密碼、信用卡號與支付金流資訊皆不在該資料庫內，並未外洩。目前詐騙集團常藉掌握的真實訂單品項與時間，假冒客服以「定期購設定錯誤」、「升級批發VIP」、「重複扣款」等話術行騙，民眾接獲此類要求操作網銀或 ATM 的電話切勿理會。
🟡沒被騙也能申請賠？官方全面受理負責到底
91APP 董事長何英圻承諾由平台全權負責，補償方案更是業界罕見的「全面受理」：
無財產損失者（個資受損）：消費者即使「沒有被騙、未產生財損」，只要個資在名單內，一律受理損害補償（具體金額與認定標準正與主管機關及品牌研議中）。
有財產損失者（不幸遭詐騙）：因本事件受騙匯款造成財物損失者，應立即向警方報案並聯絡銀行止付，後續財損金額由 91APP 提供補償。
官方表示，11 月 2 日起將主動透過「@91app.com」官方網域信件或簡訊通知受影響用戶，且正式通知「絕不會附帶連結要求輸入帳密或個資」。補償申請自即日起一路受理至 2027 年 2 月 1 日止，線上登記專屬表單預計於 11 月 2 日正式開放，民眾亦可透過客服專線 (02) 7723-1622 或信箱（servicetw@91app.com）洽詢。
