91APP Commerce Cloud 訂單資料庫遭入侵：未修補的 Appsmith 成破口，上千品牌會員訂單個資外洩並被用於詐騙

發生什麼

91APP 公布的事件說明指出，10 月 4 日首次接獲客戶通報後，調查於 10 月 14 日確認 10 月 3 日 Commerce Cloud 其中一座訂單資料庫遭非法存取；根因是第三方工具 Appsmith 存在漏洞而未及時更新，攻擊者由此進入內網，並從內部 GitLab 取得該資料庫金鑰 ^[1]。91APP 並表示在系統內發現 AI 自主滲透工具 ARTEX 的攻擊痕跡 ^[1]。

影響範圍

數位產業署 10 月 19 日會同資安院與外部專家到場檢查，確認部分資料確實遭未經授權擷取，但涉及的個資項目、人數與筆數仍待調查 ^[2]。遭存取的是訂單資訊，不含信用卡資料；Marketing Cloud、91APP Payments 與 iCHEF 不受影響 ^[1]。多家使用 91APP 的上市櫃品牌（滿心、歐都納、科懋、清淨海、立康等）陸續發布，並有消費者收到冒用商家名義、含真實訂單資訊的詐騙郵件 ^[3]。

處置

91APP 已移除 Appsmith、更換內部權杖與資料庫帳密、限制 CI 主機與資料庫網段連線，10 月 15 日依個資法通報數發部，並提出消費者財損補償與品牌會員溝通方案 ^[1]。數產署已啟動行政檢查，要求 91APP 盤點遭擷取資料與受影響品牌、消費者並通知 ^[2]。