91APP 遭駭調查報告揭露 ARTEX AI 攻擊工具痕跡，破口為未修補的 Appsmith 漏洞

電商技術服務業者 91APP 於 10 月 22 日公布《91APP 2026 遭受駭客攻擊事件 18 天調查報告》，揭露旗下 Commerce Cloud 資料庫遭自動化攻擊、部分訂單資訊遭非法擷取的經過。據此來源報導，調查團隊在一臺內部持續整合（CI）主機中發現 10 月 3 日有一支未授權執行緒的執行紀錄，並於 10 月 14 日確認公司遭駭，當日已阻斷入侵。 報告指出系統內發現 ARTEX 攻擊痕跡，這是一種 AI 自主滲透測試系統，可自動尋找漏洞、規畫入侵路徑並發動攻擊與竊取資料。91APP 在公告中補充，2026 年 9 月至 10 月間，南韓多家銀行、日本約 20 家企業與美國逾百家企業網站遭到同類工具攻擊或鎖定，顯示此類 AI 自動化攻擊工具已在多國出現；本來源未提供臺灣案例的具體細節。 主要入侵破口為內部使用的第三方工具 Appsmith 存在漏洞且未及時套用修補，駭客由此進入內部網路，再從 GitLab 取得一組資料庫存取金鑰，進而存取訂單資料庫。 時間軸方面，91APP 於 10 月 4 日接獲客戶通報後先協助調查 ERP 系統，10 月 8 日成立緊急應變小組，10 月 9 日確認由奧義智慧科技協助調查。董事長何英圻在公告中表示，公司先查明事實再通知品牌，是為避免提供錯誤資訊；但回顧來看，成立應變小組時就應同步提醒品牌，並承認這是公司的疏失，向受影響的品牌與消費者致歉。 影響範圍方面，91APP 表示目前確認遭非法存取的是 Commerce Cloud 其中一座訂單資料庫，不包含信用卡等支付工具資訊；Marketing Cloud、91APP Payments 及 iCHEF 均未受影響。防堵措施包括移除 Appsmith、更換內部系統權杖與資料庫帳號密碼、重建 GitLab 權限，並限制 CI 主機與資料庫網段之間的連線。對於經確認因本事件遭詐騙而受損的消費者，公司承諾全面補償，並將與各品牌協商受影響會員的補償措施，目前配合數位發展部行政查核。 截至 10 月 22 日，實際受影響的品牌數、會員人數及資料範圍仍待確認，公司表示預計下週進一步公布。