数位发展部11日说明数位经济相关业者个资事件，可能外泄的栏位以订单、姓名、Email为大宗，部分另含电话、地址资料，可能受影响的品牌类型涵盖服饰零售、食品、宠物用品、生活用品、保养品及化妆品。数发部表示，已通报的受害厂商大概有十几家，规模有大有小，其中具规模的大概有五六家，个案仍在陆续调查。

数发部指出，这一波资安攻击的特性是直接财损非常小，但潜在间接财损会非常大，骇客进入系统后并未取得信用卡号码或直接勒索，而是偷取个资，再于暗网卖给诈骗集团。对品牌商而言，最大的损害在于商誉，提供品牌商资讯服务的厂商，商誉损失也会非常大；若因个资外泄导致民众被诈骗而产生财损，店家也会有一定的法律责任。

个资外泄恐转售诈骗集团 平台业者责任与稽核同步加重

依据个人资料保护法及数位经济相关产业个人资料档案安全维护管理办法，业者知悉事故后应尽三项作为：72小时内通报主管机关数发部；以电子邮件、简讯、电话通知受影响的客户与消费者，并提供查询管道；查明原因、修补漏洞并采取应变措施，降低当事人损害。

针对平台业者，数发部表示，平台上有许多品牌与客户的资料，承担的责任比较大，未来将是资安强化的推动重点，包括应办事项与应达到的目标可能会比较高，稽核专案也可能强化。

对已发生事故的业者，数产署将进行行政检查，但数发部强调，行政检查的最大目的不是处罚，而是协助企业应对网路攻击，检查时会找专家与技术人员一起进行，从法遵与技术面协助业者尽快找到根因、防堵漏洞，并通知消费者其个资可能外泄，让消费者收到可疑简讯或Email时提高警觉；若因此受到财务损失，应立即报案，以确保日后能就损害赔偿求偿。数发部也呼吁，企业一旦发生事故，一定要赶快通报，才能在第一时间获得协助。

数发部也已邀集平台型业者，请资安署与资安院协助加入TWCERT/CC及相关社群，随时掌握最新情资，了解目前有哪些攻击或漏洞须赶快修补；企业若需要漏洞情资或通报、协助，也可透过TWCERT/CC官网取得漏洞警讯、案例分享及相关资源。

72小时通报修补成重点 政府导入AI工具强化资安防线

至于除了呼吁之外有无强制性做法，数发部长林宜敬表示，目前仍在宣导期，将视状况而定，并希望商家主动配合。具体作为上，数发部将以AI对抗AI，资安署与资安院已陆续取得Anthropic、OpenAI、Google及Microsoft四家资安AI模型，将用来扫描政府机构与关键基础设施网站；民间企业部分，接下来会再做规划，并希望借重台湾资安产业协助政府与民间企业解决问题，让业者在过程中也获得成长。

数发部提出个资保护五大行动。第一，资安署或资安院针对软体或设备发布重大资安警讯时，各界应参考资安署「各机关基于风险导向之弱点处置期限评估指引」，于72小时内完成软体升级、安装补丁、关闭部分功能或采取其他防护措施。数发部指出，过去企业收到警讯后，习惯等一两个礼拜甚至一两个月才修正，现在不能再等，因为骇客得知漏洞后，会用AI工具快速扫描全世界尚未更新的网站并自动攻击。

五大行动要求加速处置 诈骗信件结合真实个资提高迷惑性

第二至第四，企业发现个资外泄，应于72小时内通报主管机关、以适当方式个别通知当事人潜在诈骗风险，并找出原因、完成漏洞修补、关闭软体部分功能或采取其他有效措施，防止灾情扩大。第五，事件发生后一个月内应提出检讨与改善计划，落实「个资最小化原则」，避免搜集不必要的个资，以降低攻击面。数发部表示，收集的客户资料越多，发生资安事件时受到的伤害越大，业者在合理范围内收集、完成分析后，应尽快销毁。

数发部也提醒民众，已出现冒用品牌商名义的诈骗手法。诈骗信件主旨冠上购物网站名称，实际由不明帐号寄出，内容带入正确的姓名、电话、地址与购买商品，让人信以为真，再谎称误设「每月订阅」、重复扣款「金额×12期」制造恐慌，诱导民众加入假客服LINE，并以取消订阅、解除扣款为由，要求操作ATM、网银或提供卡号、验证码。民众收到这类信件应不点信中连结、不加LINE、不提供个资或金融资料，并可至「网路诈骗通报查询网」点选「我要通报」，于「可疑ID」栏位贴上信中的LINE ID送出，经审查后即会停权。

最后，林宜敬强调，相关规定不是为了处罚电商或数位经济业者，处罚对谁都没有好处，最重要的是政府与民间企业一起努力，把防御工作做好。