電商資安怎麼做？91APP 外洩後，老闆與行銷人明天就能做的 14 項功課（個資法罰則、安維計畫一次看）

你是否也收到過這樣的電話：「您 10 號買的那筆訂單，被重複扣款了，請依指示操作取消。」對方講得出你的名字、買了什麼、哪天買的，聽起來一點都不像詐騙。

2026 年 10 月，開店平台 91APP 的訂單資料庫遭到自動化攻擊，依 91APP 10 月 29 日公布的 25 天調查報告，可能涉及 1,329 家品牌、約 479.8 萬名消費者。客人接到冒名電話，第一個被罵的不是平台，是品牌。

10 月 30 日，我去聽了一場由 WAai 商用實驗室主辦、在燒賣研究所北門教室舉辦的講座「防駭與合規雙軌並行｜電商老闆必知的資安小講座」。五位講者從被罰的苦主、資安技術、稽核到個資法律，把電商該做的功課拆得非常清楚。整場最讓我記住的，是資安顧問徐銘宏 MAX 說的一句話：

「就算功課做好，還是有可能被打穿；但你被罰錢，一定是功課沒做。」

這篇文章不是我原創的內容，是我把講座重點整理成電商老闆和行銷人可以直接照做的版本，再加上我自己身為行銷顧問、手上握有客戶帳號權限的角度。本篇文章將帶你看懂：91APP 事件到底發生了什麼、什麼算個資、會被罰多少、主管機關什麼時候會來，以及明天就能開始做的 14 項功課。

91APP 事件發生了什麼？詐騙集團要的不是卡號，是你的訂單

依 91APP 公布的調查報告與講座整理，時間軸大致如下：

• 10/3 訂單資料庫遭入侵
• 10/4 第一個品牌回報平台，消費者收到疑似詐騙訊息
• 10/7 一天有 5 家品牌回報
• 10/14 確認破口、完全阻斷
• 10/15 通報主管機關，10/16 發布重大訊息
• 10/19 數位發展部到總部實地行政檢查
• 10/22 公布 18 天調查報告，10/29 再公布 25 天調查報告

破口一點都不新。MAX 在講座中整理 91APP 的 18 天報告：入口是一套沒更新套件的內部效率工具 Appsmith，內部工具和重要系統沒有隔開，攻擊者從程式碼庫裡拿到資料庫金鑰，最後取得訂單資料。外洩的是姓名、電話、配送地址、Email 和訂單紀錄，不含信用卡等支付資訊。

為什麼詐騙集團不要卡號？MAX 舉了同一季日本 ACCESS 的例子：外洩 15.5 萬筆顧客 ID，卡號只有 1,305 筆，大約百分之一。真正值錢的是「姓名、電話、買了什麼、哪天買、多少錢」，因為這些就是冒名客服詐騙的劇本原料。

他把攻擊拆成四步：

1. 入口：第三方工具外洩的帳密，例如 BI 報表、外掛、代操帳號、沒收回的 API 金鑰
2. 擴大：自動化腳本批次登入、批次撈資料
3. 取得：訂單資料
4. 變現：冒名客服打給你的客人

每一步都是可以擋的點，後面的 14 項功課，就是對應這四步。

平台被駭，品牌也要扛嗎？

很多人的第一個反應是：「是平台被駭，關我什麼事？」

睦章法律事務所主持律師 KEVIN 鄭學豐的答案很直接：都扛。

• 消費者眼中：詐騙用的是你的品牌名字，91APP 事件中有品牌的客服被灌爆，甚至暫停雙 11 檔期。
• 法律上：客人的資料是你蒐集的，平台是幫你處理。依個資法第 4 條與施行細則第 8 條，委外處理視同你自己處理，你有監督受託廠商的義務。
• 合約不等於免責：求償是你跟平台之間的事，對主管機關和消費者，你還是第一線。

KEVIN 的說法是：「理論上是一起賠，實際上你是先賠的。」因為消費者會先找賠得起、賠最快的那個人。

講座中被罰的苦主米奇也舉了物流的例子：物流公司外洩客人地址，你也要通報，還要證明自己已經盡到監督義務；證明不了，你一樣被罰。他們公司甚至曾被要求去稽核物流公司的資安，一個十幾二十人的公司，要怎麼稽核大型物流？MAX 的回答是：「他沒有回是他的問題，你沒有寄是你的問題。」寄信去問、把回覆留下來，就是你的證據。

什麼算個資？一句話判斷法

KEVIN 在現場出了一個猜猜樂，下面 8 項，你覺得哪些算個資？

項目	算不算	理由
訂單編號	算	後台一查就知道是誰
Cookie	看情況	綁會員就算，純匿名統計才不算
會員 UID	算	在你系統裡就是那個人的身分證號
會員暱稱	算	連到帳號就是那個人
Hash 過的 Email	對你仍算	你比對得回去，就不是匿名
購物紀錄	算	買了什麼，往往比你是誰更私密
後台統計報表	不算	找不到特定的人
員工資料	算	最常被忘記的，是自己人

全場只有「後台統計報表」不算。判斷方法只有一句：這筆資料在你手上，能不能找到一個活生生的人？能，就是個資。

個資外洩會被罰多少？公司和老闆各罰一張

2023 年 5 月個資法修法後，違反安全維護義務的罰則大幅提高（第 48 條）：

情況	罰鍰
未採行適當安全措施	2 萬～200 萬元，並限期改正
屆期未改正	按次處 15 萬～1,500 萬元
情節重大	直接處 15 萬～1,500 萬元

而且公司一張、代表人一張，同樣額度。KEVIN 簡報裡列了 2026 年的真實案例：互動資通公司與負責人各罰 100 萬，酷澎公司與負責人各罰 75 萬。

講座第一位分享的米奇，就是被罰的當事人。他們是一家沒有 IT 部門的電商，米奇一人包辦 IT、行政和個資：

• 2023 年上半年，客人陸續反映接到詐騙電話，公司「補一個洞、出現一個洞」
• 2023 年 7 月主管機關來函，他們上網找範本，自己寫了安全維護計畫，12 月通過
• 2024 年 1 月再次出事、自主通報，公司和負責人各罰 5 萬
• 2025 年行政檢查，資安問題解決了，但被認定「有寫、沒辦法證明有做」，屬於未改正，公司和負責人各罰 45 萬

累計 100 萬。米奇的總結是：「第一次因為出事，第二次因為沒改好。」以前有寫計畫就算過，現在要看有沒有落實。

罰款還只是開始。KEVIN 提醒，民事賠償每人每事件 500 元到 2 萬元，同一事件總額最高 2 億；再加上客服癱瘓、檔期暫停、補償折價券、合作夥伴求償，「付得起罰款的人，通常不會想付後面那些」。

（以上罰則與案例整理自講座簡報與公開法條，非法律意見，個案請洽律師。）

數發部什麼時候會來？檢查清單其實已經公開

電商的個資主管機關是數位發展部（數產署）。KEVIN 說，行政檢查不需要你先出事，只需要你「看起來可能出事」。來源包括：

• 例行檢查：一年至少檢查 20 家企業
• 重大事件：直接帶資安和法律專家到現場
• 供應鏈連帶：開店平台一出事，你跟著被看見
• 165 反詐騙專線通報：客人報案說「買了某某的東西就接到詐騙」，累積到一定數量就會收到函

查什麼？數發部公開的自評表就是考古題，分三面：

• 管理面：隱私權政策、專責人員、個資盤點清冊、風險評估、教育訓練紀錄
• 技術面：設備清單、弱點掃描與修補紀錄、系統 Log、HTTPS、滲透測試
• 防詐面：異常交易監測、防詐處理流程、消費者防詐宣導

被查時能不能不給資料？不行，規避、妨礙、拒絕檢查本身就有罰。KEVIN 的建議是可以談「怎麼給」，例如請對方列出需要的範圍、標註營業秘密，但不能談「給不給」，更不能臨時補寫文件、倒填日期。他的比喻很傳神：「可以臨時抱佛腳，但你沒辦法臨時蓋一座廟。」

行銷人是最大破口：你給了幾家廠商家裡的鑰匙？

這一段是我聽得最有感的。主辦人、WAai 商用實驗室創辦人黃愛咪 Amy 在講座中直說：行銷人是資安最大的破口。

我自己是行銷顧問，也幫客戶代操，手上就握著客戶的粉專、廣告帳號、網站後台權限。換個角度看，我就是 MAX 說的那把「第三方鑰匙」。

行銷人手上常見的鑰匙有：GA 和廣告追蹤、CRM 會員系統、LINE 官方帳號、代操和外包帳號、API 金鑰、BI 報表工具。MAX 要大家每一把都問三句：

誰拿著？還在用嗎？結束時收回了嗎？

他舉的情境很常見：換了廣告代理商，舊代操的帳號還登得進廣告後台，某天半夜，預算被拿去投別人的廣告。

Amy 給行銷人的實務建議：

• 兩步驟驗證先打開，她說這是「基本中的基本」
• 檢查粉絲專頁、Google 帳號、Business Manager 裡到底有誰
• 「你的權限異常」「你的粉專將被停用」這類權限釣魚信現在做得非常像，點之前看清楚寄件人
• 合作邀約、招商信件的附檔，不確定就不要開
• 乖乖遵守 IT 的密碼規定，不要要求開例外

如果你跟我一樣是外包或代操，KEVIN 還給了一個自保原則：盡量在客戶的環境裡、用客戶給的帳號作業，不要把客戶資料帶回自己的電腦處理。「因為你是收錢辦事的」，牽涉客戶資料的帳號，注意力要拉得比自己的帳號更高。

另一位講者、奈米企業執行長暨 lihi 行銷推廣大使貝克菜也提醒：所有人的 Email 早就在外面飄了，負責人和最高管理員特別容易被針對，每封信都要看寄件人，每個連結點之前看清楚。

安維計畫是什麼？怎麼開始？回答五個問題就好

「個人資料檔案安全維護計畫」（簡稱安維計畫）是數發部依《數位經濟相關產業個人資料檔案安全維護管理辦法》要求電商業者訂定的計畫。辦法在 2023 年 10 月 12 日施行，法定期限是 2024 年 1 月 12 日，也就是說，還沒做的話，其實已經遲到了。

不過 KEVIN 也說，現在開始還不算太晚，數發部不會因為你 2024 年沒做就直接開罰，「你如果先做，到時候就是很從容」。

安維計畫說穿了，就是回答五個問題：

1. 誰負責？ 要有一個總負責人寫在計畫裡
2. 我有哪些個資、放在哪？ 不只系統裡，還有員工電腦、出貨單、行銷名單、老闆手機裡的暫存
3. 哪裡最可能出事？ 風險評估做得不好沒關係，每年改，但不能不做
4. 出事怎麼辦？ 重大事故知悉後 72 小時內通報數發部
5. 平常怎麼管？ 權限、委外監督、教育訓練、稽核、紀錄保存

起步的方法很簡單：到數發部下載安維計畫指引與範本，打開看自己能填多少。順序是先個資盤點、再風險分級。

我自己的公司也正在做安維計畫。我認為這件事最重要的觀念，是 KEVIN 的「80 分原則」：先做到 80 分，被查時配合改善，明年做到 85 分，不要一開始就追求 100 分。

還有一個講者們反覆強調的重點：做了沒留紀錄，等於沒做。 教育訓練不能只拍照，Amy 建議準備紙本簽到表，而且要寫職稱，看得出是哪些部門的人參加；KEVIN 也提到，教育訓練會被要求逐年升級，從看影片、到簽到、再到考試。

簽約前問平台這六題，答案寫進合約

既然平台出事你也要扛，「監督受託者」要怎麼監督？MAX 給了六個問題，簽約前問清楚，答案寫進合約：

問題	合格的答案長這樣
外洩的話，多久內通知我？	一個天數，不是「第一時間」
會不會給我鑑識報告？	外洩欄位、筆數、時間區間
我客人的資料放在哪？	哪個雲、哪個國家、有沒有備份
誰能存取我客人的資料？	員工、外包、第三方工具的清單
我可以稽核或要求報告嗎？	稽核權，或每年提供第三方驗證報告
出事怎麼分責、怎麼協助？	通知範本、代擬主管機關報告、賠償上限

「放心，我們很安全」不算答案。MAX 把這些問題做成了一份平台資安詢問表（PDF），可以直接寄給你的開店平台、金流、物流、寄信廠商，請對方逐題書面回覆。這些回覆，就是你盡到監督義務的證據。

客人名單可以貼進 ChatGPT 嗎？綠黃紅分級

這幾乎是每個行銷人都會遇到的問題。MAX 的建議是把資料分成三級：

• 綠燈，可以直接用：商品介紹、文案草稿、公開 FAQ
• 黃燈，遮蔽後才能用：客訴與訂單，先拿掉姓名、電話、地址、訂單編號
• 紅燈，不能進 AI：會員名單、API 金鑰、密碼、合約

工具方面，用企業版或 API，確認不拿你的資料去訓練。如果你還不知道怎麼關掉訓練設定，可以參考我之前寫的〈ChatGPT、Claude、Gemini 會拿我的資料去訓練嗎？三家關閉模型訓練設定教學〉。

如果你的品牌有 AI 客服，MAX 的原則是：AI 能拿到的資料，就當作客人也拿得到。 只讓它查已驗證的那位客人，退款、改地址這類動作一定要真人確認。

帶走：14 個勾選項，明天開會就照著做

這是 MAX 在講座最後給的清單。他說合規就是買保險，這 14 項就是保單，每年續保一次。

技術 – 管理者兩步驟驗證 – 鑰匙清單，不用的收回 – 留下登入、匯出紀錄 – 每季做一次備份還原測試

安規 – 建立 72 小時通報流程 – 平台六題寫進合約 – 一年演練一次 – 資料到期刪除

稽核 – 年度資產與風險清單 – 每季權限比對 – 矯正措施追到驗證

AI – 資料綠黃紅分級 – AI 客服只查已驗證客人 – 匯款、改收款帳戶一律回撥確認

如果只能先做一件，我會建議從「管理者兩步驟驗證」開始。它幾乎不花錢，MAX 引用 Microsoft 的研究，開啟後帳號被盜風險可降低 99.22%。

最好的開始時間是 2024 年 1 月，第二好的時間是今天

聽完這場講座，我最大的感想是：資安和個資保護不是大公司才要煩惱的事。只要你有會員、有訂單、有行銷名單，你就是主管機關眼中要負責的人。

講者們沒有要大家一次做到完美。米奇的教訓是「寫你做得到的，但一定要做」；KEVIN 的建議是先做到 80 分；MAX 的清單，每一項都是明天就能開始的小動作。

KEVIN 在講座最後留了三題回家作業，你也可以現在問問自己：我知道公司有哪些個資、放在哪裡嗎？如果明天數發部來，我拿得出什麼？如果開店平台出事，第一個小時我要做什麼？

功課做好不保證不被打穿，但至少，被罰的不會是你。你的第一件功課，今天要從哪一項開始呢？

---

我每週會寫一封電子報，把當週實測過的 AI 工具、實際用得上的做法，還有顧問現場看到的案例整理給你。想收到的話，可以在這裡訂閱：明淳說電子報。

講座資訊與講者

本文整理自 2026 年 10 月 30 日「防駭與合規雙軌並行｜電商老闆必知的資安小講座」，內容版權屬各講者所有，感謝講者們無私分享。

• 主辦：WAai 商用實驗室，創辦人黃愛咪 Amy
• 場地與主持：燒賣研究所，創辦人周振驊 Ryan
• 米奇：TPIPAS 個資專業人員，被罰當事人現身說法
• 貝克菜：奈米企業執行長、lihi 行銷推廣大使
• 徐銘宏 MAX（大米）：擁樂數據 COMMEET 技術長、財報狗共同創辦人，ISO/IEC 27001 主導稽核員
• KEVIN 鄭學豐：睦章法律事務所主持律師、臺灣金融科技協會秘書長

講座活動頁：https://ankey.tech/waai/

參考資料

• 講座活動頁與講者介紹：https://ankey.tech/waai/
• MAX 平台資安詢問表：https://ankey.tech/waai/security.pdf
• 數位發展部 安維計畫指引：https://www-api.moda.gov.tw/File/Get/adi/zh-tw/sCr6PtbynHt914s
• 數產署 電商業者裁罰公告：https://moda.gov.tw/ADI/news/personal-data-and-other-sanctions/e-commerce-industry/1825
• 91APP 重大訊息：https://ir.91app.com/tw/announce_detail.php?id=370
• 91APP 25 天調查報告整理（鉅亨網轉載）：https://uanalyze.com.tw/articles/4816157965
• 數位時代 91APP 補償與資安措施報導：https://www.bnext.com.tw/article/92753/91app-data-breach-compensation-security-measures
• ACCESS 公告：https://www.access-company.com/en/ir_news/td261015/
• 個人資料保護法：https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021
• 臺灣個人資料保護與管理制度（TPIPAS）：https://www.tpipas.org.tw/

本文罰則、法條與案例整理自講座內容與公開資料，非法律意見，個案請洽專業律師。