Cyberbiz 事件再添上市櫃重訊：櫻花、曜亞與崇越子公司相繼揭露
原始來源： iThome · 2026/11/10
繼稍早宏碁智新、臺鹽等品牌因順立智慧（Cyberbiz）資料庫遭未經授權存取而發布重訊後，2026/11/09 至 11/10 又有多家上市櫃公司揭露。櫻花（9911）指出「SAKURA 台灣櫻花官方購物商城」訂單及消費者個資可能受影響；曜亞（4138）子公司曜胜生技的「DR CYJ 購物網」訂單資料遭異常存取；崇越（5434）子公司安永生活亦接獲 Cyberbiz 通知，正清查受影響範圍。另，美吾華（1731）因會員反映疑似個資外洩，初步認為與委外電商平臺有關，但重訊未點名該廠商，尚不宜逕自認定為同一事件。本篇接續本站既有整理，聚焦新一波重訊與品牌端應辦事項。
重點先看
櫻花、曜胜與安永生活再就 Cyberbiz 事件發布重訊。使用委外電商的品牌應盤點串接、輪換金鑰，並主動提醒會員防詐。
發生了什麼
依 iThome 2026/11/10 整理之公開資訊觀測站重大訊息，順立智慧（Cyberbiz）資料庫遭未經授權異常存取的事件，持續出現新的品牌端揭露。櫻花（9911）於 11/09 表示，接獲「SAKURA 台灣櫻花官方購物商城」委外廠商 Cyberbiz 通知，事件涉及該商城訂單及消費者個人資料；公司已啟動應變，並要求廠商釐清原因與可能範圍，目前對財務及業務無重大影響。 曜亞（4138）則公告，子公司曜胜生技的「DR CYJ 購物網」因同一委外廠商事件，訂單相關資料遭未經授權異常存取。曜胜已通報主管機關，並對疑似受影響的極少數會員發送簡訊與電子郵件，提醒防範詐騙。崇越（5434）指出，子公司安永生活接獲 Cyberbiz 通知，近期發現異常資料存取；安永已在電商平臺提醒消費者提高警覺，並著手釐清受影響對象，若確認受影響將通知當事人。
和前一篇重訊整理差在哪裡
本站稍早已整理宏碁智新、臺鹽因 Cyberbiz，以及天仁因 91APP 發布重訊的情況（INTERNAL_CYBERBIZ）。那篇文章的重點，是品牌開始以法定重大訊息揭露委外平臺資料庫異常存取，並出現暫停營運與會員防詐。本篇則觀察到同一委外廠商事件在短時間內再擴大到家電、生技與通路等更多上市櫃集團子公司，顯示影響名單仍在增加，且多數公司仍表示「範圍調查中」。 另外，美吾華（1731）於 11/06 接獲購物網站會員反映疑似個資外洩，11/09 重訊指出初步與委外電商平臺服務廠商系統有關，公司自身資訊系統未受影響，已通知受影響會員並通報主管機關。該則重訊並未點名廠商名稱，因此不能直接寫成同一事件，但同樣提醒品牌：委外電商一旦出事，對顧客溝通與通報義務仍落在品牌端。
建議立即處置
使用委外電商或會員訂單平臺的品牌，建議依序處理： 1. 盤點所有委外開店、會員與訂單系統，列出各自保存的資料欄位與保存期間。 2. 輪換 API 金鑰與管理權杖，改為最小權限，並在支援時限制來源。 3. 要求供應商提供影響欄位、時間區間、存取來源與改善措施，作為通報與求償依據。 4. 依內部個資事故流程評估主管機關通報與對當事人個別通知。 5. 透過官網、簡訊或郵件提醒會員：官方不會以訂單異常或退款為由，要求提供帳密或到不明連結操作。 6. 調閱近期異常大量讀取、非維運時段匯出與異常來源，並持續追蹤供應商調查結果。
為什麼重要
同一委外平臺的事件，可以在數日內從少數品牌擴大成一串上市櫃重訊。對顧客而言，看到的仍是品牌名稱，而不是後台廠商名稱。影響範圍尚未完全釐清時，品牌仍須先做好防詐溝通與金鑰收斂，不能等到「最終調查報告」才開始動作。 建議以 CloudCoffer UTDS 盤點第三方 API 並偵測異常大量讀取，搭配 DevaEye 軟體安全檢測檢視串接設計，並由 DevaEye MDR 託管防護監看異常存取跡象。
Cloudforce 可以協助哪些？
針對委外電商平臺持續出現異常存取、品牌端需要盤點串接與應變的情況，可依下列方案對應： 1. CloudCoffer UTDS：以 MatrixScope 盤點對外與第三方 API、找出未登錄的影子 API；以 MatrixShield 未知威脅偵測，發現金鑰濫用、驗證異常，以及短時間大量讀取或匯出訂單、會員資料的行為。 2. DevaEye 軟體安全檢測：檢測官網、會員中心與委外串接的權限範圍、金鑰保存與介面暴露，協助在事件後驗證與供應商檢討時交付修補建議。 3. DevaEye MDR 託管防護：7×24 監看資料庫大量查詢、異常登入與資料外傳，縮短發現、取證與通報所需的時間。
常見問題
這和稍早的 Cyberbiz、91APP 重訊是同一件事嗎？
就 Cyberbiz 而言，是同一波委外平臺事件的後續擴大，本篇新增櫻花、曜胜與安永生活等重訊。天仁一案來自 91APP，應分開看待。美吾華則僅說明與委外電商系統有關，重訊未點名廠商，不宜逕自歸入同一事件。
目前能確定外洩了哪些資料、多少人嗎？
多數公司仍在清查。櫻花表示涉及訂單及消費者個資但範圍待釐清；安永生活亦在清查；曜胜則稱已通知疑似受影響的極少數會員。在官方公布前，不應把影響人數寫成既定事實。
品牌現在最該做什麼？
盤點並輪換串接金鑰、要求完整調查與存取紀錄、依個資流程評估通報與通知，並主動提醒會員防詐。
美吾華是否也是 Cyberbiz 客戶？
公開重訊只寫「委外電商平臺服務廠商」，沒有點名。在廠商或公司證實前，不應直接等同處理，但仍可依相同原則檢查委外串接。
CloudCoffer UTDS 能如何協助？
可盤點第三方與影子 API，並偵測金鑰濫用與短時間大量讀取訂單或會員資料的行為，協助品牌及早發現委外串接被利用。