電商ERP業者莫筆克科技遭駭，Shopline更換相關API金鑰，商家匯入ERP的資料恐受影響

繼91APP、1shop、Cyberbiz及meepShop等臺灣電商技術服務業者接連傳出資安事件與疑慮後，我們同時追蹤另一家電商開店平臺Shopline的資安動態，進一步發現該公司於11月3日公告，有商家使用的第三方雲端ERP服務商莫筆克科技（Mallbic雲端小幫手）發生資安事件。

在近期多家電商技術服務業者接連傳出資安事件與疑慮之際，商線科技（Shopline）自10月21日起在官網陸續公布資安防護與事件應對最新動態，其中有兩起事件與客戶資料議題有關，受到我們關注。

首先，10月21日針對外部陸續出現假冒Shopline名義的可疑郵件，該公司表示，已檢視後臺操作紀錄、第三方API存取紀錄及內部平臺監控紀錄，確認相關郵件並非由Shopline發出，且在已檢視的紀錄中，未發現平臺系統遭未經授權入侵的證據。

其次，Shopline於11月3日公告，指出第三方ERP合作夥伴系統發生資安事件，在接獲對方通報後已立即成立應變小組，主動啟動內部調查，完成官網端相關資料盤查，並全面更換相關串接金鑰（API Token），以降低未經授權存取的風險。同時，Shopline也附上第三方ERP業者莫筆克科技發布的資安事件說明與防詐騙提醒，供商家參考。

綜觀上述兩起事件，針對10月21日出現的可疑詐騙郵件，Shopline經排查後未發現平臺系統遭入侵的證據；至於11月3日公布的另一起事件因應，Shopline則指出，事件發生於ERP服務商莫筆克科技的系統端，而非Shopline平臺本身。

不過，Shopline在公告中將莫筆克科技稱為第三方ERP合作夥伴，究竟雙方是否因為合作而受到影響？對此問題，Shopline表示，該公司與商家選擇的ERP業者並無直接合約關係，而是由商家依自身營運需求，自行與ERP業者簽訂服務合約並進行資料處理。在技術層面上，Shopline僅提供API串接機制，讓商家使用的ERP系統透過API取得所需資料。另外，儘管問題出在莫筆克科技，Shopline仍表示，後續也將持續追蹤並協助受影響品牌掌握相關資訊。

至於莫筆克科技實際遭遇的資安事件，根據該公司發布的說明，10月31日進行每日安全性檢核時，發現主機出現異常紀錄，並於當天凌晨4時介入調查及處理。後續調查確認，有主機曾遭未經授權執行惡意指令。

關於此次攻擊的途徑及影響範圍，莫筆克科技指出，攻擊者是由品牌官網服務入口進入系統，但可能受到影響的資料不僅限於品牌官網，也可能包含商家從其他電商平臺匯入該系統的消費者及交易資料。該公司已與10月30日下午15時修補主要破口，並向主管機關通報，至於實際涉及哪些資料項目，以及受影響的商家與消費者範圍，目前仍在持續調查確認中。

由於這兩家廠商直接或間接受到資安事件影響，其服務客戶可能也遭到波及，經過我們的追查，使用Shopline及莫筆克科技相關服務的「果果能量」與其關聯品牌「彼蛋白」，均於11月3日在各自官網發布資安事件說明與顧客協助公告。兩品牌表示，均使用莫筆克科技提供的訂單與出貨管理服務，根據該公司提供的書面說明，其系統曾遭未經授權執行惡意指令，並發現資料庫遭查詢及嘗試外傳資料的行為。

根據果果能量與彼蛋白轉述Shopline提供的書面說明，這兩個品牌官網的交易紀錄均被列入此次事件的受影響範圍，但Shopline平臺本身並未遭入侵，事件發生於莫筆克科技的系統端。至於實際涉及哪些顧客、資料項目、訂單期間及人數，仍待進一步釐清。果果能量與彼蛋白也表示，已要求莫筆克科技核對相關訂單、保存紀錄並提供正式調查結果，後續將持續辦理顧客通知、案件受理及相關協助。

事實上，近期ERP系統的資安風險也已受到關注，這是因為91APP先前公布資安事件調查報告時曾提到，在最初調查中發現，詐騙郵件中的部分個資與91APP系統資料不符，卻與通報客戶共同使用的ERP系統資料吻合，因此一度朝ERP系統方向調查。不過，91APP並未公布當時涉及的ERP業者名稱，目前尚無法確認是否與此次遭駭的莫筆克科技為同一家業者，或是否還有其他ERP業者遭到攻擊，仍有待進一步查證。