91APP 资安长林大维：过去追查外泄的成功经验，这次反而拖慢了调查

台湾电商SaaS服务商91APP在2026年10月29日召开记者会，公布《91APP被骇事件：25天调查报告》。董事长何英圻率领公司主管向受影响的消费者与品牌客户致歉。91APP指出，由于无法确认具体涉及哪些订单，以最大可能影响范围估算，涉及1329家品牌、479万8225名消费者，可能遭取得的资讯包括姓名、电话、配送地址、电子邮件及订单纪录，但不包含密码、信用卡或其他支付资料。

除了影响规模，这起事件的调查历程也值得关注。91APP在10月3日遭到入侵，隔天便接获品牌反映消费者收到疑似诈骗讯息，却直到10月14日才确认攻击轨迹与破口，并于当晚完成阻断。为何从遭骇到确认入侵来源，前后相隔了11天？91APP资安长林大维在记者会上还原了这段调查过程。

林大维坦言，这次调查耗时较长，与初期调查方向有关。他解释，一笔电商订单会经过多个节点，包括品牌端的操作电脑、订单管理系统，以及91APP平台等。过去追查疑似订单资料外泄时，团队习惯优先检查外部节点，这套方式多年来曾有不错的成效，因此这次也沿用相同做法。然而，这次真正的入侵来源却位于91APP内部系统。团队直到后续扩大内部环境调查，才掌握攻击轨迹。林大维坦承，初期调查方向有误，应该从一开始就同步检查内、外部环境，而不是优先集中在外部节点。

根据91APP与奥义智慧科技的调查，攻击者透过一套未更新套件的内部效率工具Appsmith进入91APP内部网络，再从程式码管理平台GitLab取得资料库金钥，进而非法存取Commerce Cloud的一座订单资料库。91APP指出，调查发现ARTEX AI自动化攻击工具的相关痕迹，并将此次事件归因于使用该工具的自动化攻击。这次事件不只涉及第三方工具未及时更新，也包括攻击者取得内部金钥后得以进一步存取资料库的问题。91APP在调查报告中表示，防护与修补管理未跟上攻击速度，是公司必须检讨之处。

针对这次事件，91APP表示已移除遭利用的工具、更换系统金钥与帐密、重新调整GitLab权限，并隔离测试与正式环境、限制主机与资料库之间的网路连线。在后续防护方面，91APP提出三大改善方向：第一是推动零信任架构，透过网路与应用程式微分段、最小权限及持续验证，缩小不同系统间的存取范围，降低攻击者在内部横向移动的风险；第二是运用AI加快资安侦测与回应速度，透过AI持续监测异常、分析并自动回应，同时利用AI模拟攻击主动寻找系统弱点；第三是引入外部资安专家持续评估，透过第三方独立检测、评估及威胁情资交流，补足内部视角可能忽略的问题。

林大维指出，自动化工具让攻击者能更快寻找入侵路径，传统固定周期的防护作业可能难以及时应因。这组对比揭示了自动化攻击与人工响应之间的速度落差：当攻击者借助AI工具加速漏洞发现和路径规划时，依赖定期扫描和人工调查的防御体系存在结构性延迟。91APP的调查经验也说明，过去成功的模式本身可能成为认知锚点，使团队在面对新型攻击向量时仍沿用旧路径，直到外部专家介入才打破僵局。

至于消费者后续处理，91APP已向列入影响范围的品牌发出通知，预计自11月2日起取得品牌授权后主动通知可能受影响的消费者，并统一受理谘询及补偿申请。根据91APP，消费者不论是否已有财产损失都可提出申请，但实际诈骗财损规模、补偿总额，以及无财损者的具体补偿方式，目前仍在调查、尚未确定。