繼91APP遭駭後，1shop、Cyberbiz與meepShop等電商技術服務業者接連傳出資安警訊

臺灣多家電商技術服務業者接連傳出資安事件，繼10月中旬91APP公布遭駭事件後，又有多家業者傳出資安事件與相關疑慮，1shop公告其研判「訂單成立通知信」遭竊取，進入11月後，多家使用Cyberbiz及meepShop服務的品牌也陸續發布資安及防詐公告，提及訂單異常讀取或可能遭未經授權取得，實際事件情況與影響範圍仍待釐清。

電商開店服務業者1shop於10月30日發布公告，指出10月28日晚間接獲商家及消費者通報，有人冒用訂單資訊寄送詐騙郵件，聲稱消費者已訂閱定期購服務，將分12期扣款，並誘導加入假冒的LINE客服或點擊連結取消訂閱。

接獲通報當晚1shop即展開調查，初步研判不法人士可能取得「訂單成立通知信」內容。這是因為詐騙郵件中的消費者姓名、購買商品及金額與實際訂單大致吻合，但信中標示的「首次訂購日期」，並非實際訂單成立時間，而是晚了幾秒的訂單通知信寄送時間，商品品項的寫法也與通知信相似。

在後續因應方面，1shop懷疑原有的第三方郵件服務Mailgun API金鑰可能遭他人取得，進而讀取訂單通知信內容，目前已向Mailgun申請相關存取紀錄，以釐清實際原因。業者也已更換金鑰，將原本保存7天的通知信內容改為不再保存，同時更新舊訂單短網址、加強異常存取防護，並通知可能受影響的顧客及向主管機關通報。

關於另一家電商系統服務業者Cyberbiz的狀況，我們注意到美國戶外運動品牌Merrell臺灣臉書粉絲專頁發布防詐提醒，說明他們的官方網站系統商Cyberbiz，近日發生部分廠商訂單遭到異常讀取，雖然尚未收到自身品牌受影響的通知，但仍發出防詐提醒；Hayashi日本林製作所也在臉書公告，說明其近日接獲系統平臺服務商Cyberbiz通知，發現可能涉及會員資料安全的疑慮，目前已主動向該業者要求釐清相關狀況及受影響範圍，也同時先行公告提醒所有會員防詐。

此外，「大成安心購」也在臉書粉絲專頁發布防詐公告，指出Cyberbiz發生系統異常及資安事件，部分商家訂單資料可能受到影響。由於已有多家品牌陸續公開相關資訊，我們也向Cyberbiz查證是否確實向商家發出相關通知，以及事件實際情況，但截稿前尚未獲得回覆。

關於另一家電商系統服務業者meepShop的狀況，也有品牌商公開示警。例如，艾祁單車11月2日發布重要資安事件暨防詐騙提醒公告，說明其使用的meepShop電商系統服務平臺，於當天凌晨遭受外部惡意網路攻擊，根據商家轉述meepShop提供的初步說明，部分訂單資料可能遭未經授權取得，涉及的資訊可能包含消費者姓名、聯絡電話、配送地址、電子郵件及訂單紀錄；同時表示此次事件未涉及完整信用卡卡號、會員登入密碼、系統金鑰及相關驗證資訊。至於實際受影響的訂單範圍及資料數量，仍在調查中。

此外，我們也發現其他使用meepShop服務的商家，包括COOL&HOT、Zaniin Co., Ltd.等，也陸續在臉書發布公告，指出所使用的meepShop電商系統遭受外部惡意網路攻擊，部分訂單資料可能受到影響。我們為此向meepShop詢問狀況，但截稿前未獲得該公司回覆。

值得注意的是，日本資安業者GMO Cybersecurity by Ierae先前曾揭露，攻擊者利用AI工具建立多組自動化攻擊基礎設施，其中包含專門鎖定日本電子商務、媒體及物流業者的攻擊主機。由於日前91APP已確認遭到ARTEX自動化攻擊，我們也持續關注臺灣是否還有其他電商服務業者出現類似資安事件，如今確實有多家業者陸續傳出資安事件與疑慮，至於這些事件是否也涉及AI輔助攻擊，目前仍有待調查確認。