91APP 事件之後，台灣電商圈的資安警訊沒有停。10 月底到 11 月初，一頁購物平台 1shop、開店平台 Cyberbiz 相繼公告訂單資訊可能外流，連電商 ERP 業者莫筆克科技（MALLBiC 雲端小幫手）也證實主機遭未經授權執行惡意指令，Shopline 因此全面更換相關 API 金鑰。破口從「開店平台」一路延伸到「商家串接的外部系統」，消費者收到的「定期購」「分 12 期扣款」詐騙信，背後可能是整條供應鏈的問題。
事件經過
- 10/28 晚間：1shop 接到商家與消費者通報，收到含真實姓名、商品、金額的「定期購／重複訂閱」詐騙信。
- 10/30：1shop 發布公告，研判對方取得的是「訂單成立通知信」內容，最可能原因是寄信服務 Mailgun 的 API 金鑰遭取得；已刪除舊金鑰、改用新金鑰，停止在寄信服務保存通知信內容，並讓舊訂單短網址失效。1shop 表示不涉及付款或登入資料。
- 10/31：莫筆克科技在每日安全檢核發現主機異常紀錄，當天凌晨 4 時介入調查，確認主機曾遭未經授權執行惡意指令；品牌商轉述的書面說明指出，還發現資料庫遭查詢及嘗試外傳資料的行為。
- 10/31 晚間：依品牌商轉述的 Cyberbiz 平台通知，平台發現部分訂單資料遭異常讀取，11/1 採取阻斷措施，可能涉及姓名、電話、地址、Email 及訂單內容，受影響名單仍在確認。
- 11/3：Shopline 公告第三方 ERP 合作夥伴（莫筆克）發生資安事件，表示 Shopline 平台本身未遭入侵，但已完成官網端資料盤查並全面更換相關串接金鑰（API Token）。使用莫筆克服務的品牌「果果能量」「彼蛋白」同日發布事件說明，表示其官網交易紀錄已列入受影響範圍。
- 11/4：iThome 彙整報導，另有使用 meepShop 的品牌公告官網遭惡意攻擊，詳情仍待業者說明。
重點
| 業者 | 角色 | 已知狀況 | 處置 |
|---|---|---|---|
| 1shop | 一頁購物平台 | 訂單成立通知信內容疑遭取得，研判為 Mailgun 金鑰外洩 | 換新金鑰、停存信件內容、舊短網址失效 |
| Cyberbiz | 開店平台 | 10/31 發現部分訂單資料遭異常讀取 | 11/1 阻斷，持續調查範圍 |
| 莫筆克（MALLBiC） | 電商 ERP／訂單出貨系統 | 主機遭執行惡意指令，資料庫遭查詢、嘗試外傳 | 已修補主要破口並通報主管機關 |
| Shopline | 開店平台 | 稱平台本身未遭入侵，受害資料在 ERP 端 | 全面更換相關 API Token |
- ERP 是資料的匯流點：莫筆克表示，攻擊者由品牌官網服務入口進入，但受影響的可能不只品牌官網資料，也包含商家從其他電商平台匯入 ERP 的消費者與交易資料。也就是說，你在 A 平台下單，資料仍可能從商家的 ERP 外流。
- 實際影響範圍都還沒確定：各業者均表示受影響的資料欄位、人數、訂單期間仍在調查中。
- 與 91APP 是否同源未確認：91APP 先前的調查報告曾提到，詐騙信中的部分個資與通報客戶共用的 ERP 資料吻合；但 91APP 未公布 ERP 業者名稱，目前無法確認是否就是莫筆克。
- 詐騙劇本一致：用真實訂單資訊取信，再以「定期購已成立」「分 12 期扣款」「訂單異常需取消」為由，要你加 LINE 客服、點連結或操作 ATM／網銀。
對你的實務建議
企業／IT 管理者（電商品牌、開店平台、SaaS 業者）
- 盤點所有串接金鑰：寄信服務（Mailgun、SendGrid 等）、ERP、物流、金流的 API Key／Token 列成清單，長期未換的一律重新發行，並限制權限範圍與來源 IP。
- 關掉不必要的資料保存：寄信服務若預設保存信件內容（1shop 原本保存 7 天），評估是否關閉；訂單短網址避免可猜測、避免永久有效。
- 把 ERP 納入供應商風險管理：合約中寫明資安事件通報時限與配合調查義務；上游業者一通報，立刻在自家平台端撤換串接金鑰。
- 監控異常查詢：資料庫大量查詢、非常態時段的 API 讀取、對外大量傳輸都應告警。
- 主動告知顧客：在官網與官方 LINE 公告「唯一官方客服帳號」，並提醒「我們不會要求操作 ATM 或網銀」；已受騙者引導撥打 165。
一般用戶
- 收到含正確姓名、商品、金額的「定期購」「重複扣款」「分 12 期」通知，資料正確不代表是本人或店家發的。
- 不加信中或簡訊提供的 LINE 帳號、不點連結，自己到官網或原本購物紀錄中的客服管道查證。
- 任何要求你操作 ATM、網路銀行「解除設定」的，一律是詐騙，直接撥 165 反詐騙專線。
- 不提供信用卡卡號、密碼或簡訊 OTP 給任何「客服」。
- 近期在多個網購平台下過單的人，接下來幾週對冒名來電與簡訊特別提高警覺。
發表留言