接到一通電話，對方報出你上週在某個品牌官網買的商品和金額，說系統誤設成分期，要你照指示操作取消。很多人會因為對方說得出訂單內容而放下戒心，但這些細節，往往就是從被入侵的系統裡流出來的。

10 月 16 日，電商軟體服務商 91APP-KY 發布重大訊息，說明旗下 Commerce Cloud 資料庫在 10 月 14 日遭到自動化攻擊，部分資訊被非法擷取。對在這套平台上開官網的品牌來說，這帶出一個難回答的問題：顧客資料交給系統商保管，出了事，該由誰對顧客負責？

重訊交代了處理步驟，外洩的範圍截至發稿仍未公布

根據 91APP 在 2026 年 10 月 16 日發布的〈Commerce Cloud 資料庫受到自動化攻擊事件說明〉，公司已控制住系統、向警方報案、委請第三方資安單位調查，並依法通報主管機關，也會以電子郵件通知受影響的客戶。公司初步評估對營運沒有重大影響。

東森新聞同日的報導〈91APP遭駭發重訊 籲防詐團冒名品牌行騙〉指出，公告沒有說明被擷取的資訊類型、筆數與受影響客戶數，截至發稿仍未公布。報導也提到，91APP 的客戶以零售與餐飲品牌為主。

91APP 表示自己也是受害者，這句話沒有錯。但消費者是在品牌的官網或 App 下單，多數人不知道背後的系統由誰維護，要追問也會去找品牌。一套系統服務許多品牌，讓中小品牌不必自養工程團隊，也代表一處被攻破，影響的是一整串品牌和它們的顧客。

資料交給系統商保管，責任不會跟著一起交出去

立法院在 2025 年 10 月 17 日三讀通過個人資料保護法部分條文修正，同年 11 月 11 日公布，施行日期由行政院另定。理律法律事務所在〈總統公布「個人資料保護法」修正條文〉中整理，修法後企業不能再以還在調查或公司沒有違法為由，延後通知外洩的當事人，符合一定範圍的事故也要通報新設的個人資料保護委員會。

細節寫在子法裡。個資會籌備處在 2026 年 1 月 22 日預告「個人資料事故通知通報及應變辦法」等草案，依理律〈個人資料保護委員會籌備處預告個人資料保護法施行細則修正案及三項子法草案〉的整理，草案規定知悉事故後 72 小時內要通知當事人，涉及敏感個資、系統保有 1 萬筆以上資料或影響 100 筆以上者，也要在 72 小時內通報。和這次事件最相關的是：受託廠商知悉事故，就視為委託的企業已經知悉；受託廠商沒有通知，責任仍在委託的企業身上。

草案尚未定案，但方向很清楚：品牌把會員資料放在外部平台，法律上仍是保有資料的一方。72 小時從平台發現時就開始算，品牌若等系統商整理好調查報告才知道發生什麼事，時間可能已經不夠。

董事會要看的不只是自家系統，還有每一家握有資料的廠商

上市櫃公司發生資安事件要發重大訊息，中央社在 2023 年 3 月的報導〈上市櫃資安事件須即時發布「重大訊息」否則罰款最高 500 萬〉指出，違規的上市公司可被處 3 萬到 500 萬元違約金。但這次發重訊的是平台商；使用平台的品牌，它們的股東和顧客同樣想知道，自己的資料在不在其中。

會員資料、訂單、付款紀錄，可能早就放在外部的電商平台、客服外包或行銷工具裡，董事會和高階主管可以問幾件具體的事：公司的個資存放在哪幾家廠商？合約有沒有寫明出事後多久通知、提供哪些資訊、誰負責通知顧客？廠商有沒有定期提供資安檢查或第三方驗證的結果？這些平常像行政細節，出事時卻決定公司能不能在時限內反應。

資訊安全與客戶隱私是許多企業鑑別出的重大主題，但報告書多半揭露自家的制度與事件件數，較少談供應商握有的資料怎麼管。供應鏈管理不只談原料與勞動條件，也要包含資料。

顧客最先接到的是詐騙電話，第一時間的說明也是治理的一部分

個資外洩後，顧客最直接的風險是詐騙。東森新聞的報導提醒，接到自稱品牌客服、要求操作 ATM、提供驗證碼或額外付款的電話或訊息，都要提高警覺，改從品牌官方管道查證。

平台商會通知受影響的客戶，但消費者熟悉的是品牌的名字。品牌若能在自己的官網、App 和社群主動說明系統服務商發生了什麼事、目前已知的範圍、顧客可以怎麼保護自己、可疑來電打哪支電話確認，就能減少顧客被騙。

這些不能等事件發生才準備。和平台商事先約好通報流程、指定內部負責人、備好對外說明範本，平常花的時間不多，出事時卻能省下最重要的頭幾個小時。

回到開頭那通電話。對方說得出你的訂單，不代表他就是品牌客服；品牌說自己也是受害者，也不代表顧客的資料與它無關。越來越多業務交給外部系統處理，公司能交出去的是工作，交不出去的是對顧客的責任。