過去一個月，同一個名字反覆出現在不同國家的資安事件裡：ARTEX。它是一套開源的 AI 自主滲透測試框架，本來是給紅隊做測試用的，現在卻出現在台灣電商技術服務商 91APP 的入侵調查、微軟揭露的中國國家級駭客行動，以及南韓警方偵破的 820 萬筆個資竊案中。三起事件的共同點很清楚：AI 讓攻擊變快、變便宜，但攻擊者走進來的門，仍然是沒修補的套件、外流的金鑰和權限過大的應用程式。
事件經過
台灣：91APP 訂單資料庫遭入侵，系統內發現 ARTEX 痕跡
- 依 91APP 官網說明與中央社報導，91APP Commerce Cloud 其中一座訂單資料庫於 10 月 3 日遭非法存取，入侵於 10 月 14 日晚間 11 時完全阻斷，10 月 15 日依個資法通報數位發展部。
- 破口是一套內部效率工具 Appsmith 的漏洞未及時修補；攻擊者由此進入內網，再從內部 GitLab 取得資料庫金鑰，進而入侵訂單資料庫。
- 91APP 表示，調查中在系統內發現 ARTEX 等 AI 自動化攻擊工具的痕跡；外部調查團隊為奧義智慧科技。
- 遭存取的是訂單資訊，不含信用卡等支付資訊；Marketing Cloud、91APP Payments 與 iCHEF 不受影響。受影響品牌與會員範圍仍在確認中，91APP 承諾補償經確認因此事件遭詐騙而有財損的消費者。
國際：微軟指中國駭客 Storm-0940 用 ARTEX 打 ConnectWise 供應鏈
- 微軟 10 月 21 日發布報告，指中國國家背景駭客組織 Storm-0940 最早自 2026 年 9 月起使用 ARTEX 自動化攻擊全球數百個組織，產業涵蓋航太國防、能源、金融、政府、製造、半導體、科技等。
- 微軟指出，部分案例從鎖定目標到取得雲端高權限不到 3 小時。
- 微軟並評估，近期揭露的 ConnectWise Cloud Backup（前身為 SkyKick Backup）供應鏈入侵事件也是 Storm-0940 所為：攻擊者濫用客戶先前授權給這個多租戶應用程式的權限，在不需要使用者互動登入的情況下存取 Microsoft 365 租戶，並嘗試登入超過 2,250 個租戶。
- ConnectWise 執行長 Manny Rivelo 對外表示，公司已圍堵受影響的應用程式連線，但這些措施無法移除攻擊者可能已在個別客戶租戶內建立的未授權存取，客戶需要各自檢查（路透社報導）。
- 微軟強調，此事件不是微軟自身系統或產品漏洞造成；租戶內出現該應用程式或攻擊者成功驗證，也不必然代表資料已被存取或外洩。
南韓：前滲透測試人員用 ARTEX，入侵逾 90 家機構
- 首爾警方查獲 7 名嫌犯，涉嫌入侵南韓逾 90 家機構（含教育機構、醫院、大型企業等），竊取約 820 萬筆個資與內部文件。
- 主嫌為 32 歲男子，曾在資安公司從事滲透測試；警方指他在 2026 年 8 月底開始導入 ARTEX 擴大攻擊。主嫌已被拘押並移送檢方，其餘 6 人不拘押偵辦。
- 南韓警方表示，這是當地首宗利用生成式 AI 進行大規模駭侵與個資竊取而逮捕嫌犯的案件，並警告 AI 已讓非專業組織也能發動大規模攻擊。
重點
| 事件 | 攻擊者怎麼進來 | AI 扮演的角色 |
|---|---|---|
| 91APP（台灣） | 內部工具 Appsmith 未修補 → 內部 GitLab 取得資料庫金鑰 | 系統內發現 ARTEX 痕跡（91APP 說明） |
| ConnectWise Cloud Backup（國際） | 濫用客戶已授權的多租戶 OAuth 應用程式權限 | 以 ARTEX 加速掃描、偵察、密碼噴灑與 OAuth 應用程式濫用（微軟說明） |
| 南韓 90 多家機構 | 警方未公開完整入侵手法 | 8 月底起以 ARTEX 擴大攻擊規模（警方說明） |
- AI 沒有發明新破口：三起事件裡，已公開的入口都是老問題——未修補的套件、存放在程式碼平台的金鑰、權限過大的第三方應用程式。
- 真正改變的是速度與規模：微軟觀察到不到 3 小時就拿到雲端高權限；南韓案一名主嫌就能打 90 多家。過去「漏洞公布後還有幾週可以排程修補」的假設，越來越不成立。
- 「內部工具」也是攻擊面：91APP 的破口不是對外官網，而是內部效率工具。只盤點對外系統是不夠的。
對你的實務建議
企業 / IT 管理者
- 把內部工具納入修補清單：Appsmith、低程式碼平台、內部儀表板、CI/CD 主機、測試機都要列冊並定期更新，不要只顧對外網站。
- 金鑰不要放在 Git：掃描 GitLab／GitHub 儲存庫與 CI 變數中的資料庫密碼、API Key、雲端憑證；改用 Secret Manager 或 Vault，並在事件後全面輪替。
- 網段隔離：CI 主機、測試環境不應能直接連到正式資料庫；依 91APP 的處置方式，限制主機與資料庫網段連線、隔離測試與正式環境。
- 檢查 Microsoft 365／Entra ID 企業應用程式：盤點所有已授權的第三方應用程式（特別是備份、MSP 管理工具），檢查是否有 Directory.ReadWrite.All 等高權限；查看服務主體（Service Principal）登入紀錄、是否被新增憑證或變更權限。
- 使用 ConnectWise Cloud Backup 者：依 ConnectWise 公告的圍堵指引處理，並自行檢查租戶內是否已有攻擊者留下的後門（例如額外新增的應用程式憑證），保留日誌供調查。
- 縮短偵測與回應時間：異常登入、非上班時間大量查詢資料庫、CI 主機出現未授權程序等要即時告警；日誌集中保存，至少能回溯數週。
- 供應商資安要求：電商、SaaS、外包廠商合約中明定修補時限、事件通報時限與稽核權。
一般用戶
- 曾在使用 91APP 系統的品牌官網購物者，近期若接到「訂單異常」「重複扣款」「要解除分期」的電話或簡訊，一律掛斷，自行到品牌官網或官方 App 查詢訂單。
- 詐騙者手上可能有你的姓名、電話、地址與購買品項，對方講得出訂單內容，不代表就是真客服。
- 不要依對方指示操作 ATM、網銀或安裝任何 App；有疑問撥打 165 反詐騙專線查證。
- 各大購物網站的密碼不要共用，並開啟兩步驟驗證或通行金鑰（Passkey）。
資料來源
- 91APP：遭受駭客攻擊事件說明與後續補償計畫
- 中央社：91APP公布遭自動化攻擊階段調查 承諾補償消費者財損（2026/10/22）
- iThome 資安新聞（10/27：91APP 遭駭事件查出 ARTEX 攻擊痕跡；韓國警方偵破利用 ARTEX 嫌犯）
- Microsoft Security Blog：Storm-0940 uses ARTEX agentic AI, ConnectWise supply chain compromise（2026/10/21）
- Microsoft Threat Intelligence（Bluesky）：ConnectWise Cloud Backup OAuth 應用程式遭濫用 IOC
- Reuters：Chinese-linked hackers compromise ConnectWise, target hundreds in global attack, Microsoft says
- BleepingComputer：Former pentester used ARTEX AI to steal 8.2 million data records（2026/10/26）
- Seoul Economic Daily：Self-Taught Hacker Used AI to Steal 8.2 Million Records, Police Say
發表留言