目錄
30 秒看懂日商 ACCESS 台灣子公司的電商支援服務 CROS 遭駭，外洩 15 萬 5,280 筆顧客 ID 與 1,305 筆信用卡資料，涉及台灣、港澳與新加坡。對台灣電商來說，這是一堂電商資安課：破口常不在自家網站，而在委外系統。本文帶你檢查該補的洞。
如果你在經營電商，網站、金流、會員資料多半交給外部系統處理，那這則新聞正好是一堂電商資安課。
日本軟體商 ACCESS 的台灣子公司遭駭，15 萬多筆網購個資外洩。這不是哪個小賣家單獨出包，而是一記提醒：破口常常不在你自己身上。
這次 ACCESS 個資外洩，到底外洩了什麼？
答案是大量網購顧客資料，再加上部分信用卡。
根據 TVBS 新聞網 10 月報導與動區動趨的整理，ACCESS 台灣子公司 ACCESS AP TAIWAN 的電商支援服務「CROS」遭到未授權存取。CROS 是協助日本業者在台灣經營定期回購型網購的後台服務。
外洩範圍包含 155,280 筆顧客 ID 與 231,998 筆訂單 ID，涉及台灣、香港、澳門與新加坡的消費者。
信用卡部分共 1,305 個帳戶受影響，其中 4 個帳戶連卡號、效期、持卡人與安全碼全都流出，其餘 1,301 個不含安全碼，而且都來自「付款未完成」的訂單。攻擊者還盜用寄信金鑰，發出 11,441 封未授權郵件。
電商資安的破口，常常不在自家網站
這次最值得台灣電商記住的一點，是攻擊的起點。
根據動區動趨引述 ACCESS 公告，入侵起點是一套只提供給 CROS 單一客戶使用的 BI 工具（商業智慧，就是幫企業做資料分析的系統），屬於應用程式層級的入侵。換句話說，出事的不是消費者逛的購物頁，而是背後串接的分析系統。
這也是電商資安最常被忽略的地方：你串接的每一個第三方服務，都是資安的一部分。就像你家門鎖得再牢，備用鑰匙卻放在合作廠商手上，對方被偷，你家照樣遭殃。
| 環節 | 常見破口 | 你可以先檢查 |
|---|---|---|
| 購物網站 | 外掛或套件有漏洞 | 更新版本、移除沒在用的外掛 |
| 金流 | 自家資料庫存完整卡號 | 改用合規金流、不保存安全碼 |
| 委外系統 | 第三方權限過大 | 盤點權限、定期更換金鑰 |
| 寄信服務 | 金鑰外洩被冒用發信 | 限制金鑰權限、開啟異常監控 |
為什麼跟你有關多數中小電商沒有自己的資安團隊，網站、金流、EDM、客服常常外包或串接第三方。只要其中一個環節被攻破，外洩的是你的客戶，要面對的卻是你的品牌信任。這次 ACCESS 從 9 月 11 日偵測異常到 10 月 15 日公告，相隔 34 天，也提醒你：出事後的通報速度，同樣是品牌的一部分。
信用卡資料，你真的需要留著嗎？
這次外洩的信用卡都來自「付款未完成」的訂單，這點很關鍵。
它代表系統在交易還沒走完時，仍保存了完整卡號，甚至安全碼。對台灣電商來說，最直接的教訓是：能不留的資料就不要留。
信用卡建議全交給通過國際安全標準的金流服務商處理，自家資料庫不碰完整卡號；安全碼依國際規範本來就不該被儲存。你蒐集的欄位越少，萬一被攻破時能被偷走的就越少。
你現在可以先做哪 5 件事？
不用等資安顧問，這幾件事今天就能開始盤點。
- 先盤點手上的個資： 列出你蒐集了哪些客戶資料、存在哪裡、誰能存取；非必要的欄位（像完整信用卡）就別再保存。
- 清查所有第三方串接： 把網站外掛、金流、EDM、分析工具、API 金鑰列成一張清單，定期更換金鑰，離職或結束合作就立刻停用權限。
- 把金流交給合規服務商： 信用卡交給通過國際安全標準的金流處理，自家資料庫不碰完整卡號與安全碼。
- 開啟異常通知與監控： 對後台登入、大量匯出資料設警示，越早發現越能止血，別讓 34 天這種落差發生在你身上。
- 先寫好外洩應變腳本： 事先約定「誰負責、幾小時內通報、怎麼通知客戶」，真的出事時才不會手忙腳亂。
電商資安重點整理
- 事件：ACCESS 台灣子公司 CROS 服務遭駭，外洩 15 萬 5,280 筆顧客 ID、1,305 筆信用卡資料（來源：TVBS、動區動趨）。
- 破口：攻擊起點是委外廠商專用的 BI 工具，不是消費者端的購物網站。
- 教訓一：第三方串接是電商資安的一部分，委外不等於免責。
- 教訓二：付款未完成也別留完整卡號與安全碼，能不留就不留。
- 行動：盤點個資、清查金鑰、交付合規金流、設異常通知、備好通報流程。
常見問題
ACCESS 台灣子公司這次外洩了多少個資？
根據 ACCESS 10 月 15 日公告，電商支援服務 CROS 遭駭，外洩 15 萬 5,280 筆顧客 ID、23 萬 1,998 筆訂單 ID，另有 1,305 個帳戶信用卡資料外洩，其中 4 筆連安全碼都流出。
網購個資外洩我該怎麼自保？
留意來路不明的郵件與簡訊、不點陌生連結。若曾在相關平台留過信用卡，向發卡銀行確認近期交易、必要時換卡，並開啟交易通知，一有異常就立即掛失。
電商資安破口通常出現在哪裡？
這次攻擊起點是委外廠商專用的 BI 分析工具，屬應用程式層級入侵。很多外洩不是來自自家網站，而是串接的第三方系統、API 金鑰或寄信服務，委外環節往往最容易被忽略。
小型電商沒有資安團隊可以先做什麼？
先盤點你握有哪些個資、誰能存取，非必要就不保存信用卡完整資料。再清點所有串接的第三方服務與金鑰並定期更換，最後備好一份外洩通報與客戶告知流程。
參考資料
- TVBS新聞網：網購族注意！日企台灣子公司遭駭 15.5萬筆個資外洩、信用卡也遭殃
- 動區動趨 BlockTempo：日商 ACCESS 台灣子公司遭駭，15 萬筆網購個資外洩
- ITmedia NEWS：ACCESS台湾子会社のEC支援サービスに不正アクセス 通販顧客15万件
想把 AI 與自動化導入你的品牌行銷？ 看看優妃思的 AI 與自動化方案
