2026年11月13日 下午 2:30
AI新聞訂單表單上，你要客人填幾格？姓名、手機、Email、完整地址、生日……很多欄位當初只是「先收著，以後可能用得到」。過去這比較像是行銷習慣；現在，它也是駭客眼中的一筆存貨。
數位發展部資通安全署 11 月 11 日發布新聞稿（原文）：境外駭客從 7 月起運用 AI 代理工具發動網攻，威脅已經從政府機關擴展到各類企業和網路平臺。臺灣已有十餘家企業和網路平臺接連受害，新聞稿寫累計逾百萬份個資受影響；隔天行政院會後記者會上，資安署副署長周智禾說，影響約 800 萬筆個資（中央社報導）。兩次說法數字不同，以官方後續公布為準。資安署給企業的建議只有三句話：補漏洞、快通知、個資最小化。
資安署說，經初步調查，近半數攻擊事件和 AI 攻擊有關；攻擊者多半利用 PHP、Node.js、GitLab 等軟體已知的高風險漏洞，再透過權限很高、可以大量存取資料的 API，把個資一次撈走。官方用的形容是「速度更快、成本更低、規模更大」。對小店來說，意思很實際：你的網站是用哪套購物車、哪個外掛架起來的，駭客的工具很可能比你更早知道它有沒有更新。
漏洞不會因為店小就被跳過。
經濟日報引述數發部說明，這波可能外洩的欄位以訂單、姓名、Email 為大宗，部分還有電話和地址，品牌類型包括服飾零售、食品、寵物用品、生活用品、保養品和化妝品。資安署提醒，要防範個資外洩後衍生的精準詐騙：對方說得出你的姓名、訂單和消費細節，不代表就是真客服。官方新聞稿也寫到，依《個人資料保護法》第 12 條，個資遭竊或洩漏時，應查明後以適當方式通知當事人；初步掌握受影響範圍就可以先行通知，不必等調查全部結束；公告裡要清楚寫出「官方絕不會做的事」，例如要求操作 ATM、網路銀行，或用 LINE 退款。
通知得越早，客人越有機會不上當。
數發部同時提出五項應變行動，其中幾項都和時間有關：數位經濟相關企業發現個資外洩，應在 72 小時內通報主管機關；企業發現個資外洩，也應在 72 小時內以適當方式個別通知當事人；事件發生後一個月內，要提出檢討與改善計畫。哪些業者適用、期限怎麼算，以主管機關的規定為準；但對任何一家有線上訂單的店來說，「出事後三天內要做完哪些事」，值得現在就先想好，而不是出事當天才找人。
時間線要在平常畫好，出事時才來得及照著走。
三句話裡，最容易被忽略、也最不花錢的，是個資最小化。資安署的建議很具體：只收集履約必要的欄位，例如超商取貨不需要強制填完整戶籍地址；訂定保存年限，過期的訂單依法刪除或去識別化；敏感資料分開存放、加密遮罩；委外廠商的合約也要約束同樣的規範，業務終止時確實銷毀資料並提供證明。收得越多，出事時傷得越重；沒收的資料，就不可能外洩。
最安全的個資，是當初沒有收的那一筆。
下面是我們依資安署新聞稿整理的做法，不是法規，也不能取代主管機關的規定。第一，打開自己的訂單表單，一格一格問「出貨真的需要嗎？」，用不到的就拿掉或改成選填。第二，翻出舊訂單：多久以前的資料還留著？訂一個保存期限。第三，問架站或代管廠商：系統和外掛最近一次更新是什麼時候？收到重大漏洞警訊時，誰負責更新？第四，免費加入 TWCERT/CC 的情資分享，讓漏洞警訊直接寄到信箱。第五，先寫好一則給客人的通知範本，裡面寫清楚「我們絕不會要你操作 ATM、網銀或加 LINE 退款」。舉個假設情境（不是真實公司）：一家只做超商取貨的手作小店，把「完整地址」和「生日」從必填拿掉，只留姓名、手機和取貨門市；萬一出事，外洩的欄位就少了兩格。
先做不花錢的那幾件，就已經比昨天安全。
AI 讓駭客掃漏洞、撈資料的成本越來越低，小店很難在技術上跟他們比快。但有一件事完全由自己決定：收多少、留多久。把表單上用不到的那幾格拿掉，是今天下午就做得完的事。
歡迎加入【蒲公英 AI 知識社群】。我們不追逐表面的資訊熱度，而是拆解每一次科技與商業決策背後的真實邏輯。在變動加速的時代，我們一起看的不是熱鬧，而是規則。
👉 點此加入蒲公英 AI 知識社群（連到 LINE 社群：https://line.me/ti/g2/U22Ve69yCykRi4WhI1Q8PEb0bVBN1AwlwepJwQ）
🔑 入群通關密碼：94115
