$ whoami --brand

客人接到
你的詐騙電話

電商老闆與行銷人的資安：事前・事中・事後
// 來電中…
「XX 購物 客服中心」
自稱你的品牌，叫得出客人的名字
拒接接聽
徐銘宏 Max Hsu（大米）COMMEET 技術長 · Ankey 創辦人
活動名稱 · 日期（待補）01 / 27
// 先看一則簡訊

這則簡訊，真的還是假的？

示意重現
簡訊XX 購物
【XX 購物】親愛的會員您好，您的訂單因系統錯誤重複扣款，請於今日聯繫客服專線 02-XXXX-XXXX 辦理取消，逾期將持續扣款。
今天 上午 10:42
// 回電之後
「客服」報出你的姓名、購買日期、商品和金額，請你到 ATM「解除設定」。
舉手投票：你會怎麼判斷？
A

真的

品牌真的出包了

B

假的

這是詐騙

答案先保密，最後一題揭曉

記住這則簡訊，我們今天最後會再接一次這通電話。
活動名稱 · 日期（待補）02 / 27
$ cat agenda.md

今天不教技術，只教明天能做的事

不用會寫程式，會做決定就夠了
01 事前

出事前

先問平台、先收鑰匙、
先刻印章、先演練

02 事中

出事時

第一通客訴之後，
72 小時內怎麼動

03 事後

出事後

把客人的信任
一點一點賺回來

三段都只問一件事：你的品牌，明天可以先做什麼？
活動名稱 · 日期（待補）03 / 27
$ whoami

徐銘宏 Max Hsu（大米）

COMMEET 技術長 · Ankey 創辦人
大米
（照片待補）
經歷
• COMMEET ｜ 技術長
• Ankey ｜ 創辦人
• 軟體開發 ｜ 約 20 年
// TODO

Max 的親身故事（待補）

一個自己或身邊品牌遇過的資安／冒名經驗，30 秒講完。

今天用老闆的角度講，不用工程師的角度講。
活動名稱 · 日期（待補）04 / 27
// 迷思

很多老闆心裡想的是……

✗ 迷思
「我用大平台，資安是平台的事」
↓
✓ 現實
平台被打，客人罵的是你的品牌
客人不認識你的系統商，只認識你的 Logo。
活動名稱 · 日期（待補）05 / 27
// 比喻：百貨公司與專櫃

平台是百貨公司，你是專櫃

百貨公司 ＝ 開店平台 · 系統、資料庫、串接

你的專櫃

你的品牌

專櫃 B

別的品牌

專櫃 C

別的品牌

專櫃 D

別的品牌

百貨公司失火

管線、保全、消防，是百貨公司在管。

客人怎麼說

「我在你們專櫃買的東西出事了。」

所以

建築你管不了，但專櫃的招牌是你的。

百貨公司失火，客人記得的是你的專櫃。
活動名稱 · 日期（待補）06 / 27
// 2026 這一季

這不是一家兩家的事

58
一則網友整理貼文
點名的品牌數
網友整理，未全數證實
15.5萬
ACCESS CROS
外洩顧客 ID
ACCESS 10/15 公告
1,305
ACCESS CROS
外洩卡號（帳戶數）
ACCESS 10/15 公告
13天
91APP
遭攻擊 → 發重訊
10/3 遭攻擊
10/14 鑑識確認
10/16 重訊
卡號 1,305 筆，顧客 ID 15.5 萬筆——詐騙要的不是卡號，是你的訂單。
來源｜91APP 重訊 https://ir.91app.com/tw/announce_detail.php?id=370 · 天下 https://www.cw.com.tw/article/5143354 · ACCESS https://www.access-company.com/en/ir_news/td261015/
活動名稱 · 日期（待補）07 / 27
// 被冒名不是新招

劇本沒變，變的是資料從哪來

以前

名單外洩

詐騙拿到的是「誰、電話幾號」。

開口要猜：「您好，請問是王先生嗎？」

→
現在

訂單資料外洩

多了「買了什麼、哪天買、多少錢」。

開口就講對：「您 10 號買的那筆，被重複扣款了。」

劇本一樣：重複扣款 → 要取消 → 去 ATM 操作

劇本一樣，但可信度更高——因為細節是真的。
活動名稱 · 日期（待補）08 / 27
// 01 事前

你可能會問：我又不是工程師，能做什麼？

答案：會問問題。下次跟平台開會，問這 5 題
01

外洩的話，多久內通知我？

要一個天數，不要「第一時間」
02

會不會給我鑑識報告？

我才能跟客人說清楚
03

我客人的資料放在哪裡？

哪個機房、哪個國家
04

誰能存取我客人的資料？

平台員工、外包、第三方工具
05

出事怎麼分責、怎麼賠償？

寫進合約，不是口頭
聽到「放心，我們很安全」不算答案。簽約前問，永遠比出事後吵有用。
活動名稱 · 日期（待補）09 / 27
// 01 事前 · 盤點

你給了幾家廠商家裡的鑰匙？

🔑 01

GA／廣告追蹤

🔑 02

CRM／會員系統

🔑 03

LINE 官方帳號

🔑 04

代操／外包帳號

🔑 05

API 金鑰

🔑 06

BI／報表工具

真實案例 · ACCESS CROS

入侵起點，是一個只給單一客戶用的 BI 工具

一把小鑰匙，打開的是整個系統。

情境示意舊代操的鑰匙

換了廣告代理商，舊代操的帳號還能登入廣告後台；某天半夜，預算被拿去投別人的廣告。

→ 換廠商當天收回權限；帳號用個人，不用共用

每一把問三句：誰拿著？還在用嗎？結束時收回了嗎？

鑰匙越多把，門越難顧；不用的，今天就收回。
來源｜ACCESS https://www.access-company.com/en/ir_news/td261015/
活動名稱 · 日期（待補）10 / 27
// 01 事前 · 每年的習慣

ISO 27001 每年在做的事，電商也用得上

① 盤點

資產盤點

有哪些資料、放在哪、誰負責：會員個資、訂單、金流、行銷名單、廣告帳號

→
② 評估

風險評估

每項資產：可能怎麼出事 × 機率 × 影響，排出前 5 大

→
③ 處理

風險處理

降低／轉移（合約、保險）／避免／接受；指定負責人與期限

→
④ 供應商

供應商管理

平台、代操、外掛工具：簽約前問；合約寫進通知時限與稽核權；每年複查

→
⑤ 權限

存取權限

離職、換代操當天收回；最小權限；管理者帳號強制兩步驟驗證

↺ 每年從 ① 再跑一次
情境示意① 的例子：抽獎蒐集電話地址的 Excel，雲端連結設成「知道連結的人都能看」——這也是要盤點的資產
不用拿證照，先把這張表做出來。
參考｜ISO/IEC 27001:2022 — 條文 6.1.2 風險評估、6.1.3 風險處理；附錄 A 5.9 資產清冊、5.19–5.22 供應商關係、5.15–5.18 存取控制
活動名稱 · 日期（待補）11 / 27
// 01 事前 · 官方印章

先刻好你的「官方印章」

客人要有辦法分辨：哪個才是真的你
印章 1 · 寄信網域

設好 SPF／DKIM／DMARC

不讓別人用你的網域寄信。交給工程師一次設好。

印章 2 · 官方說法

固定一句話，到處講

「我們不會請你操作 ATM。」客服、官網、社群講同一句。

印章 3 · 常駐提醒

放在客人會看的地方

訂單頁、出貨簡訊、Email 頁尾，平常就放。

情境示意假客服加 LINE

客人在粉專留言抱怨，馬上有個用你品牌頭像的帳號私訊：「我是官方客服，請加 LINE 處理退款。」

→ 公告固定說法「官方不會私訊要你加 LINE 退款」・粉專置頂・LINE OA 認證帳號
印章平常就要蓋，客人才認得出哪個是假的。
活動名稱 · 日期（待補）12 / 27
// 01 事前 · 演練

像火災逃生演練一樣，先演一次

📄 公告範本

先寫好八成

發生什麼、影響誰、客人該做什麼、怎麼聯絡我們。出事時只填空。

🎧 客服話術

第一線怎麼回

能說什麼、不能說什麼、什麼時候轉給主管。印出來放在客服桌上。

📞 聯絡清單

出事時打給誰

平台窗口、法務、主管機關、165 反詐騙專線、公關。電話寫在紙上。

一年演一次：假設今天接到第一通客訴，30 分鐘內每個人知道自己要做什麼嗎？

火燒起來才找逃生門，就來不及了。
活動名稱 · 日期（待補）13 / 27
// 02 事中

接到第一通客訴，你第一步做什麼？

舉手投票，選一個
A

先發公告

B

先問平台

C

先記錄並止血

D

先安撫客人

先想 10 秒，再舉手。
活動名稱 · 日期（待補）14 / 27
// 02 事中 · 劇本ISO 27001 · A.5.24–5.28 事件管理

黃金 72 小時：照順序走

STEP 1

發現

第一通客訴就當真，開始記錄時間與內容

→
STEP 2

止血

停可疑帳號
換金鑰
停可疑 EDM

→
STEP 3

查證

問平台
保留紀錄、截圖、客訴內容

→
STEP 4

通報

72 小時內通報數位部；平台，必要時 165

→
STEP 5

公告

講清楚發生什麼、客人該怎麼做

法定｜數位部電商安維辦法：重大事故知悉後 72 小時內通報數位部（網路零售等適用）
先止血、再查證，最後公告——但不要拖。
活動名稱 · 日期（待補）15 / 27
// 02 事中 · 公告

同樣是公告，客人的感受差很多

✓ 直接承認型

AROMASE：官網承認電子商務系統「曾遭未經授權之外部人士突破防護」，列出外洩欄位、報案與通報主管機關的日期。

綠藤生機：公開說明「不法人士曾未經授權取得部分顧客的訂購資料或聯絡資訊」，並說明不含信用卡／銀行資料。

△ 只發一則「小心詐騙」 一般作法示意
「近期有不肖人士冒用本公司名義進行詐騙，請消費者提高警覺。」

客人真正想問的沒有回答：

我的資料外洩了嗎？我現在該做什麼？

誠實講清楚發生什麼，客人才會相信你接下來說的話。
來源｜AROMASE https://www.aromase.com.tw/pages/2026-aromase-scam-alert · 綠藤 https://www.greenvines.com.tw/pages/20250902-statement
活動名稱 · 日期（待補）16 / 27
// 02 事中 · 不能說的話

查清楚之前，這兩句話不能說

✗ 未查證就說
「本公司系統未遭入侵」
✗ 推給別人
「這是平台的問題」
✓ 正面例子 · 農純鄉

先和 SHOPLINE 核對後台登入／匯出紀錄，查過之後才寫：

「未發現農純鄉系統或 SHOPLINE 平台遭入侵」

話說滿了收不回來；查過才說，說了要有根據。
來源｜農純鄉 https://shop.nongchunxiang.com.tw/pages/20261004anti-fraud-notice
活動名稱 · 日期（待補）17 / 27
// 看起來講完了？
公告發出去，
就結束了嗎？
活動名稱 · 日期（待補）18 / 27
// 03 事後

客人記得的，是你怎麼處理

01 主動通知

不要等客人來問

主動聯絡受影響的客人：發生什麼、影響哪些資料、他現在該做什麼。

02 補償拿捏

誠意與一致

所有客人同一套標準，不因為誰吵得大聲就多給。

不承諾做不到的，例如「保證不會再發生」。

出事會扣分，處理得好，可以把分數賺回來。
活動名稱 · 日期（待補）19 / 27
// 03 事後 · 對照

同一週，兩種「出事後」

🇯🇵 WASABI SWITCH 株式会社ワサビ · 日本時間（＝台北＋1 小時）
  • 10/15尚未確認外洩，就先發可疑信件提醒
  • 10/16上午第一報；傍晚暫停所有店家帳號
  • 10/17再遭入侵，當晚第三報
  • 10/18向個人情報保護委員会提交速報；停用被濫用功能；強制改密碼＋兩步驟驗證
  • 10/20第六報
🇹🇼 91APP 台北時間
  • 10/3遭自動化攻擊（91APP 給品牌的信）
  • 10/12 起品牌陸續接到客訴
  • 10/14確認
  • 10/16清晨重訊「目前評估對公司營運無重大影響」重訊的投資人欄位；官網同步致歉並列五項措施
  • 10/16有品牌早上才接到通知，週末客服與粉專被灌爆（遠見，品牌說法）
外洩欄位／筆數／品牌數尚未公布（截至 10/19）
比的不是誰沒被打，是誰先站出來。
來源｜WASABI https://incident-support.wasabi-inc.biz/timeline · 91APP https://91app.com/blog/91app-202610-security/ · 遠見 https://www.gvm.com.tw/article/133880
活動名稱 · 日期（待補）20 / 27
// 03 事後 · 平台能做的

平台可以替品牌做的 5 件事

WASABI 實際做的
01

對消費者說「是我們系統出事，店家沒有責任」

詢問由平台代答
02

給店家可直接複製的顧客通知範本

店家不用從零寫
03

代擬主管機關報告書

與店家連名，一次提交
04

受影響名單，店家同意才公開

並註明「沒列出不代表沒事」
05

說清楚詢問資料怎麼保管

加密、處理完約半年刪除、AI 擬稿前先遮蔽個資、真人確認後才寄
法律上，責任還是在你（台灣個資法第 4 條、日本個資法第 25 條都一樣）
——所以這 5 件事，要先寫進合約。
來源｜個資法第 4 條 https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=4 · WASABI https://incident-support.wasabi-inc.biz/merchants
活動名稱 · 日期（待補）21 / 27
// 03 事後 · 改善ISO 27001 · 10.2 矯正措施／9.2 內部稽核

改了什麼，要再說一次

1

公開說明

告訴客人你改了什麼

2

檢討廠商

要求改善或更換

3

收回鑰匙

不用的權限全收回

4

定期複查

排進行事曆

▸ 事後檢討會：根因、矯正、下次稽核驗證有沒有做到

第二份公告，是讓客人願意回來的那一份。
活動名稱 · 日期（待補）22 / 27
// 03 事後 · 法規

個資外洩，你會被怎麼罰？

行政罰 · 電商多歸數位部管
2 萬–200 萬
  • §48 II 沒做好安全措施：罰 2 萬–200 萬並限期改正；屆期不改，按次 15 萬–1,500 萬
  • §48 III 情節重大：直接 15 萬–1,500 萬
  • §50 負責人同額連帶（除非證明已盡防止義務）
民事 · 客人告你
500–2 萬／人
  • §29 推定過失：你要證明自己沒過失
  • §28 損害難證明時，每人每事件 500–2 萬；同一事件總額上限 2 億（所涉利益超過 2 億，以利益為限）
  • §34 公益團體經 20 人授權，可提團體訴訟
刑事 · 主要是駭客、賣資料的人
5 年以下
  • 個資法 §41 5 年以下，得併科 100 萬以下罰金
  • 駭客另有刑法 §358–360 妨害電腦使用
  • 單純安全疏失的公司，主要面對前兩格
被駭不一定違法，但功課沒做會被罰——而且老闆個人也罰。
來源｜現行個資法（2023-05-31 修正版）https://law.moj.gov.tw/LawClass/LawOldVer.aspx?pcode=I0050021 · 整理自公開法條，非法律意見
活動名稱 · 日期（待補）23 / 27
// 03 事後 · 法規

真的會罰，而且越罰越重

電商裁罰 · 數產署公告每方＝公司與負責人各罰
  • 2023-05蝦皮 10 萬、誠品生活 5 萬（修法前）
  • 2024-07卓昱 4 萬、日東商事 2 萬
  • 2025-08卓昱 135 萬、日東商事 45 萬（同一家第二次）
  • 2026-08酷澎台灣 75 萬（約 20.4 萬人受影響）
被罰原因不是「被駭」

是「功課沒做」

個資盤點不完整、沒稽核委外廠商（數位部對蝦皮、誠品的查處說明）

電商的 72 小時

數位經濟相關產業個資檔案安全維護管理辦法（2023-10-12 施行）：重大事故知悉後 72 小時內通報數位部；資訊不齊可先報再補

註：2025-11-11 公布的新個資法尚未施行（施行日未定）；目前沒有電商案適用「情節重大」。另：數產署 10/19 已對 91APP 進行行政檢查（中央社）。
同一家第二次被罰：4 萬 → 135 萬。
整理自公開法條與主管機關公告，非法律意見；個案請洽律師｜https://moda.gov.tw/ADI/news/personal-data-and-other-sanctions/e-commerce-industry/1825 · https://moda.gov.tw/ADI/news/latest-news/5273 · https://www.cna.com.tw/news/afe/202609230304.aspx · https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=K0010162 · https://www.cna.com.tw/news/afe/202610200334.aspx
活動名稱 · 日期（待補）24 / 27
$ ./final_exam.sh

期末考：同一通電話，再接一次

📞 客人來電

「你們打電話說我訂單重複扣款，要我去 ATM 操作……」

🎧 客服照話術回答

「我們不會請您操作 ATM，請不要提供任何資料；官方公告在這裡……」

第 2 頁那則簡訊？
答案：是詐騙。
客人打來問，代表他還信任你——接住它。
活動名稱 · 日期（待補）25 / 27
// 帶走

三個重點，明天就做

1
平台被打，
賠的是你的品牌信任
2
事前：收好鑰匙、
刻好官方印章
3
出事照劇本：先止血、
查證，再誠實公告
事前 ✓
  • 問平台 5 個問題
  • 換廠商、離職當天收回鑰匙
  • 設好寄信網域＋官方說法
  • 資產與風險清單每年更新
事中 ✓
  • 72 小時內通報數位部
  • 公告範本＋客服話術
  • 聯絡清單寫在紙上
  • 事件紀錄要保留
事後 ✓
  • 主動通知受影響客人
  • 補償同一套標準
  • 公開改善＋定期複查
  • 矯正措施追到結案
拍下這一頁，明天開會就照著做。
活動名稱 · 日期（待補）26 / 27
$ exit 0
Q&A
下一集：當 AI 客服也被騙
徐銘宏 Max Hsu（大米）
max.hsu@ankey.tech
活動名稱 · 日期（待補）27 / 27