10 月 16 日，91APP 公告 Commerce Cloud 資料庫遭自動化攻擊，部分資訊被非法擷取。
品牌最想知道的，通常不是攻擊用了什麼技術，而是三個問題：
我們的會員有沒有受影響？有哪些資料？如果客戶來問，我們拿什麼回答？
真正麻煩的是，這三個問題不一定能在同一天得到完整答案。
2026 年 10 月 22 日以前，官方確認了什麼？
91APP 在 2026 年 10 月 16 日公告，已控制攻擊、報案、啟動事故應變，並委請第三方資安單位協助調查。公司表示會進行必要防護與通知處理。
10 月 20 日，數位發展部數位產業署表示，已在 10 月 19 日會同專家前往行政檢查，確認部分資訊遭未經授權擷取；但涉及哪些個資、影響多少人、多少筆資料，當時仍在調查。
這個差別非常重要。資料遭未授權擷取是已確認事件，個別品牌受影響範圍並不是已經全面確定的結論。
平台還在查，品牌可以先做什麼？
如果公司使用第三方購物車，不代表只能被動等平台寄通知。品牌至少可以先確認自己手上的三段資料鏈。
| 要確認的地方 | 品牌現在可以問的問題 |
|---|---|
| 平台上的會員與訂單 | 我們使用哪些模組？目前平台通知的受影響期間、資料類型是否涉及本品牌？ |
| 品牌自己的後台權限 | 哪些員工、外包人員仍有登入、查詢與匯出會員資料的權限？最近一次複核是何時？ |
| 平台以外的資料副本 | 會員名單是否匯入 CRM、EDM、LINE 工具、客服系統或交給其他廠商？ |
例如，平台能查到某段時間資料庫有異常存取，不代表品牌自己上傳到 CRM 的資料副本也已經查清楚。反過來，品牌手上有外部行銷名單，也不能據此推論這次平台事故的來源就是品牌端。
平台與品牌要查的事情不同，證據也不會自動互相取代。
客戶問「我的資料有沒有外洩」，最難的是什麼？
難的不是寫一篇安撫公告，而是把回答建立在可核對的資料上。
目前已經確認的，可以具體說明；尚未確認的，要標示仍在調查。品牌也應保存收到平台通知的日期、雙方往來、內部權限檢查、客服問答及已採取的措施。
有些公司最先發現的不是系統漏洞，而是自己根本不知道會員資料流經幾家廠商，誰能代表公司向平台要求事故資料。
如果之後需要回答主管機關、企業客戶或消費者，這些平常覺得不起眼的紀錄，可能直接影響說明的完整程度。
平台出事，品牌是否就要賠錢？
目前不能這樣推論。
是否負民事賠償、行政責任或契約責任，必須看資料來源、實際管理義務、過失、因果關係與事故調查結果。既不能因為使用平台就直接免責，也不能因為平台遭攻擊就認定每個品牌都要負責。
但有一件事不需要等到事故調查完成才做：把品牌自己能控制的權限、資料副本、委外關係和查核紀錄弄清楚。
因為到最後，客戶問的不會只有「平台發生什麼事」，還會問：「那我交給你們品牌的資料，你們自己知道怎麼管理嗎？」
延伸閱讀：購物車平台個資外洩，品牌端責任如何判斷？；電商個資外洩的事故初期處理順序。