電商個資外洩怎麼辦？數發部記者會重點整理：AI 網攻手法、五大行動與 72 小時時限

2026 年 11 月 11 日，數位發展部部長林宜敬率資通安全署（資安署）、國家資通安全研究院（資安院）、數位產業署（數產署）召開記者會，主題是「電商接連遭駭，強化個資保護防詐」。記者會全程約一小時，以下依台視新聞完整直播整理，並對照同場媒體報導。

一段話先講結論

這波攻擊有近半數與 AI 自動化工具有關，常見手法是直接打後台 API；台灣已有十餘家企業及平台受害，超過 100 萬份個資受影響，外洩的多是姓名、電話、電子郵件與訂單資料，目前沒有看到信用卡資訊外洩。

官方判斷駭客的獲利方式是把個資賣給詐騙集團，所以數產署要求業者落實「個資保護五大行動」，四項期限是 72 小時，第五項是一個月內提出檢討改善計畫。

對消費者來說，接下來要提防的是說得出你的姓名、訂單、購買金額的假客服，常見話術是「定期訂閱重複扣款」，再引你加 LINE 退款。

電商遭駭發生了什麼？國際與台灣現況

資安署通報應變組黃組長先說明國際情勢。他提到上個月記者會報告過的日本、韓國、法國，進到 11 月攻擊比上個月更嚴重：

台灣的部分，黃組長說，7 月起駭客開始用 AI 代理工具攻擊政府機關，現在擴展到各行各業和網路商店，「速度更快，成本更低，規模也比以前還要大」。

官方目前掌握的台灣受害情形：

• 受害家數：大概有十餘家企業及相關平台受害。部長在問答時補充，比較具規模的大概五、六家。
• 受影響個資：超過 100 萬份。
• 外洩欄位：姓名、電話、電子郵件、訂單等資料。
• 信用卡：到目前為止，還沒有看到信用卡等資訊受害的情形。
• 與 AI 的關係：近半數受害案例跟 AI 攻擊有關。

數產署副署長黃雅萍補充，受影響的品牌類型多是服飾、食品、寵物用品、生活用品、保養品、化妝品，都是日常生活常網購的品類。

駭客怎麼攻進電商？

資安署：AI 幫駭客「自動找門、找鑰匙」

黃組長說明，很多案例是 AI 結合自動化滲透測試工具（penetration testing，原本用來檢測系統安全的工具），擴大攻擊範圍與能力。他歸納的攻擊方式：

1. 打近期公布的高風險漏洞：例如 PHP、Node.js 等平台近期列入已知遭利用漏洞清單的弱點。
2. 鎖定 API：API（應用程式介面，系統之間交換資料的後台通道）是駭客最喜歡攻擊的地方，透過 API 取得大量資料相對容易，部分 API 權限比較高，一旦受害衝擊比較大。
3. 改訂單號碼：駭客登入之後去改訂單號碼，如果系統程式沒寫好，就可能看到其他人的資料。AI 可以把這個嘗試過程自動化。
4. 猜中簡單密碼：很多人的密碼還是設得很簡單，系統若沒有簡訊或 App 二次驗證，駭客很容易進到後台，再一路點到其他系統。
5. 專挑沒修好的舊漏洞：很多漏洞的修補方法早就公告了，AI 可以利用這些資訊很快寫出攻擊程式。
6. 繞道進來：不走大門，改從權限比較大的委外廠商、外掛工具或員工電腦下手，再一路進到核心系統。

黃組長的總結是一句話：

AI 讓攻擊變快、成本變低，但它鑽的還是沒補的漏洞、太簡單的密碼這類資安基本功的漏洞。

資安院：跳過畫面，直接打後台

資安院院長龔化中說，資安院做了很多鑑識調查，發現很多攻擊使用的是一套來自中國、名為 ARTEX 的 AI 自動化滲透測試工具。這套工具今年 9 月 3 日在百度舉辦的安全攻防競賽拿下冠軍，之後開源，被「不止同一個族群、很多不同來源的駭客」拿來持續攻擊日本、韓國和台灣。

他歸納這類 AI 攻擊的三個特徵：

• 幾乎都透過 API 攻擊：AI 程式不需要看使用者畫面（UI），通常直接跳過畫面去打後面的 API。所以閒置系統、或是畫面上已經拿掉的功能，只要後台 API 還在，一樣可能被攻擊。
• 利用外洩的憑證與帳密：拿已經遺失在外的憑證和帳號密碼登入。
• 自動化大量讀取資料庫：快速、大量地直接讀取資料。

API 權限與資料存取範圍怎麼設，在企業導入 AI agent 時也是同一類課題，延伸閱讀：AI agent 資安風險最大的破口不在模型。

個資外洩後，詐騙集團怎麼找上你？

部長在問答時把這波攻擊的特性講得很直接：駭客沒有拿信用卡號、沒有直接偷錢、也沒有勒索，他們偷的是個資，然後在暗網上把個資賣給詐騙集團。直接財損很小，潛在的間接財損會非常大。

黃副署長在簡報中舉了一個真實案例：

• 當事人 7 月確實有一筆訂單，這筆訂單已經完成。
• 10 月 31 日突然收到通知，說有一筆「新訂單」，冒用品牌商名義謊稱是定期訂閱重複扣款。
• 通知要他到 LINE 搜尋某個 ID 加好友，加入後對方會說「已經幫你扣款了，要退款給你」，誘導提供金融卡等金融資訊。

這個話術容易讓人上當，原因是訊息裡帶了真實的訂單資料，看起來就像自己的訂單。這位當事人警覺性很高，主動通報，數產署已經快速將該帳號下架。

外洩的是 Email，詐騙多半從 Email 來；外洩的是電話，就會是簡訊。

收到可疑 LINE 帳號怎麼通報？ 黃副署長示範的流程是：

1. 複製訊息中要你加入的 LINE ID。
2. 到「網路詐騙通報查詢網」的「我要通報」貼上送出。
3. 數產署審查後停權，目前大約 5 小時內可以完成停權。

有疑慮的電話或訊息，可以打 165 反詐騙專線查證。

數發部個資保護要求：企業要做什麼？

這場記者會有三個單位分別對企業提出要求，整理如下。

資安署：三件事

黃組長也提醒企業，個資法第 12 條規定，個資被竊取或洩漏時，應查明後以適當方式通知當事人；企業應做而未做，可能要負擔相關責任。

資安院：三項應急措施

龔院長說，這三件事是企業「馬上可以處理」的緊急作法，可以大幅降低目前的風險：

1. 暫時下架閒置系統：把閒置、不重要的系統先暫時下架；不需要國際連線的，盡量把對外，甚至對國外的連線先關閉。
2. 全面強制登出、換密碼：二次驗證可以擋住駭客用密碼登入，但如果通過驗證之後的工作憑證（session token）已經被拿走，駭客就能持續通行。這段時間在企業內部做一次全部強制登出，並要求換一次密碼。
3. 嚴密監控資料庫存取：來不及做最小化、加密的話，至少馬上對資料庫存取做最嚴密的監控，發現訂單或客戶資料被密集大量存取，立即告警、立即阻斷。

數產署：個資保護五大行動

黃副署長說，數產署日前已邀集平台型業者提出這些要求，五大行動如下：

她也說明，數產署會依個資法與數位經濟相關的個資安全維護辦法進行行政檢查，協助找到根因；同時也會依規定究責，這五大行動都會是究責的依據。

部長在問答時補了一個觀念。二三十年前電商剛起步時，很多店家喜歡收集消費者個資來分析行為，「以前我們把這種資料當做是一種資產，但是事實上這也是個 liability，是一個風險」。

用做生意的話講，個資有點像倉庫裡的庫存：放著看起來是資產，但每一件都要保管，失火的時候堆得越多燒得越多。部長的建議是不必要的個資不要收，收了做完分析就盡快銷毀。

媒體問答重點

以下照記者會現場的問答順序整理，以「記者問／官員答」呈現。

平台型業者的責任

記者問：以 91APP 等平台型業者為例，平台的客戶規模有大有小，但最後大多是品牌業者要負責任，法規上會不會有責任落差？是否應強化對平台業者的資安稽核或要求？

以下為現場回答內容。

部長答：個資外洩的主管機關照理說應該是個資會籌備處，個人資料保護法已在 114 年 11 月 11 日修正公布，等行政院公告施行日期。不過事情已經發生，數發部責無旁貸。這波攻擊直接財損小、間接財損大，對品牌商來說最大的損害在商譽；對提供這些品牌商資訊服務的廠商，部長舉例「比如說 91APP 來講，他的商譽的損失也是會非常的大」。部長也說，如果因個資外洩導致民眾被騙、產生財損，店家會有一定的法律責任。

資安署署長蔡福隆補充：平台業者上面有非常多品牌客戶的資料，平台業者的資安強化未來會是推動重點，包括應辦事項要達到的目標可能會比較高、稽核項目可能會強化。「平台業者他承擔責任是比較大」，這方面的資安強化會更積極。

其他學校、NGO 事件是否同一波

記者問：近期有學校收到恐嚇信、NGO 團體反映外部募款系統遭攻擊，是否跟這波攻擊有關？

部長答：個案狀況不一定相同，但這波攻擊有兩大特點，一是用 AI 工具、速度非常快，二是目標在個資、要賣給詐騙集團。

龔院長補充：資安院已派人調查，還在調查中不便透露，看起來都像使用自動化工具攻擊，是不是同一款工具還需要時間判斷。他也呼籲，不需要的資料庫先下架關閉，家裡存放大量照片的連網設備也先關掉。部長則接著提醒，下班就把電腦關機，養成「資安衛生習慣」。

受害規模與名單

記者問：受害規模有多少？能不能公布十多家受害企業名單？

部長答：已通報的受害廠商大概十幾家，比較具規模的大概五、六家，數產署會做行政檢查，最大目的是協助企業應對，而不是處罰。名單方面，上市櫃公司會影響股價，數發部不是主管機關；非上市櫃公司若針對個案評論，也會影響商譽、可能衍生法律問題，因此不針對個案說明。未來還會有多少受害，部長表示無法預判。

消費者能不能求償

記者問：個資外洩當下，能不能要求企業賠償，而不是等到真的被騙錢之後？

部長答：如果因個資外洩造成民眾被騙、財損，會進入法律程序，企業是會有責任的；目前沒有個案可以評論。

黃副署長補充：民眾若因此有財務損失，要立刻報案，確保未來損害賠償的求償權益。

攻擊從何時開始、從哪裡來

龔院長答：這波攻擊大概 9 月中開始，最早被揭露的是韓國，目前還沒有結束。攻擊來源有看到主要來自香港，但也有很多來自各國的跳板；如果是在台灣境內，「絕對會被我們抓到」。

部長補充：先進駭客一定會透過跳板，看到 IP 來源可能是香港，但駭客本人真正在哪裡，通常沒那麼容易找到。資安院與資安署會持續蒐證。

記者問：這波攻擊跟選舉時間接近，是否有中國網軍操作？

部長答：會謹慎小心，但這波看起來是全球性的，日本、韓國受害比台灣嚴重，連金融機構都被入侵。原因在於先進 AI 模型取得很強的資安能力，中國開發的這套工具放上網路後，全世界很多駭客下載使用，能力就突然變得很強。

暗網兜售的個資是真的嗎

記者問：暗網上傳出拍賣平台業者個資，是真的嗎？

蔡署長答：從資安公司取得的資訊，那應該是詐騙訊息，資料並不是來自平台業者外洩，比較像是拼湊而成、拿去賣給想購買的人。

龔院長補充：資安院長期監看暗網，確實發現有些看起來比較像真的，正在調查，真真假假都有。既然已經外洩，大家要做最壞的打算；目前看到的主要是訂單資料，較少身分證字號這類資料。

部長的結論是：這一波的好消息是信用卡和身分證資料比較少，大部分是訂單資料，所以要特別小心利用訂單資料做的詐騙。

有沒有強制性措施

記者問：除了呼籲，有沒有更具體或強制性的做法？

部長答：五大行動目前還在宣導期，會視狀況調整。具體作為是「用 AI 來對抗 AI」，資安署與資安院已陸續取得美國四個重要的資安 AI 模型，分別來自 Anthropic、OpenAI、Google 與 Microsoft，會先用來掃描政府機構與關鍵基礎設施的網站，民間企業的部分接下來也會規劃怎麼協助，並希望借助台灣的資安產業一起解決問題。

部長結語

部長最後請媒體協助一件事：資安署、資安院發布重大資安警訊時，提醒所有資訊人員和企業主趕快把補丁補上，「雖然很辛苦，但是一定要把這個基本的工作做好」。

他在問答中也解釋了為什麼不能再等：以前的習慣是有新漏洞、新 patch，等一兩個禮拜甚至一兩個月再修；現在駭客知道有漏洞，就會用 AI 工具快速掃描全世界還沒升級的網站。

以前修漏洞可以排進下個月，現在重大資安警訊發布後，官方給的期限是 72 小時。

民眾防詐照做清單

綜合資安署與數產署在記者會上的提醒：

► 說得出你姓名、訂單、金額的人，不一定是真客服。對方知道你的訂單內容，不代表他是品牌方。

► 不點簡訊、Email、LINE 裡的連結。改開官方 App 或自己到官網查訂單。

► 要你操作 ATM、網銀或用 LINE 退款，直接掛斷。官方明講，一般都不會這樣要求民眾。

► 重要帳號開啟雙因子驗證，不同網站不用同一組密碼。

► 收到可疑 LINE ID，到網路詐騙通報查詢網通報，有疑問撥 165。

► 真的有財損，立刻報案，保留之後求償的權益。

資料來源

• 台視新聞：【完整公開】LIVE 電商接連遭駭 強化個資保護防詐（2026-11-11）
• 自由財經：AI駭客攻擊升溫！數發部提5大防護行動 緊盯72小時關鍵期
• 自由財經：中國AI工具成駭客利器！資安院示警台日韓遭攻擊 揭3招自保
• 聯合新聞網：電商個資外洩波及十多家業者 數發部：72小時內通報、通知消費者
• CIO Taiwan：AI 網攻擴大企業受害 72 小時內應變成資安關鍵

協作聲明與免責

這篇文章由王董與 AI 一起整理製作完成。文中引用的第三方資料、研究或工具都會標註來源名稱；若原始出處有公開連結，會以 [來源名稱](URL) 形式附上，方便你進一步查找。若文中內容與原始出處有任何出入，請以原文為準。

內容僅供參考與學習交流，不構成任何專業、商業或投資建議，請依自身情況判斷並自行承擔行動風險。文中提及的工具功能、數據與平台政策可能隨時間異動，請以各官方最新公告為準。

文中觀點為作者個人立場，不代表所屬公司、客戶或合作夥伴之意見。