台灣4電商訂單資料遭駭 駭客賣個資直接說「來自91APP」

雙十一前夕，駭客在中國大陸暗網「長安不夜城」兜售全家、寶雅、康是美、無印良品等台灣民眾訂單資料，宣稱與91APP有關，總共釋出七九○萬筆資料，總開價二九九七美元。

駭客十一月七日在大陸地下交易平台「長安不夜城」兜售四家企業訂單資料，分別是全家行動購、寶雅、康是美、無印良品。其中，全家行動購總共釋出二四○萬筆資料、開價九九九美元；寶雅二四○萬筆資料、開價九九九美元；康是美一九○萬筆資料，開價六六六美元；無印良品則是一二○萬筆資料，開價三三三美元。

這次兜售的資料樣本中，涵蓋項目不只有姓名、電話等基本會員資料，也有訂單編號、收件地址、商品名稱、購買數量、單價、總金額、訂單日期、付款方式、配送方式及訂單狀態等欄位。

不過，七九○萬筆資料目前仍是駭客單方面聲稱，無法確認實際資料筆數、完整性，以及是否全部與91APP事件有關。

資安專家表示，若駭客這次公開的資料，的確來自遭入侵的電商系統，那麼，未來必須關注兩項關鍵發展，第一，若攻擊者手中拿到的資訊，不只有消費者基本個資，還包括具體的購物內容與交易情境，可能會讓消費者面臨個資風險；第二，受影響企業恐怕不限於單一品牌，一旦遭入侵，即使企業已阻斷攻擊、更換憑證及重建權限，遭取得的資料仍可能持續在地下市場流通。

台灣資訊安全協會（ＴＷＩＳＡ）監事、竣盟科技總經理鄭加海提醒，這類以真實交易資料為基礎的高度精準情境式詐騙，將大幅提高社交工程攻擊的可信度，甚至進一步誘騙消費者交出帳號憑證、簡訊驗證碼或進行金融交易。企業應將資料遭濫用後的社交工程風險納入事件應變；消費者也須留意，即使訊息能準確說出購買商品或訂單細節，也不代表對方身分可信。