2026 年 10 月中旬的同一週，台灣兩家雲端服務商先後揭露資安事件。上櫃電商軟體服務商 91APP 在 10 月 16 日發布重大訊息，說明其 Commerce Cloud 資料庫遭到自動化攻擊，部分資訊遭非法擷取。隔天 10 月 17 日，雲端部署平台 Zeabur 的創辦人寄信給用戶，宣布平台將在 12 月 31 日前全面停止營運。距離 Zeabur 第一次資安事件，只過了 51 天。
這兩件事的規模、成因與公司體質都不同，不適合放在一起比較誰做得好。但放在一起看，它們對企業主與 CIO 提出的是同一個問題：當貴司的營運越來越依賴雲端服務與 AI，資安事件不再只是 IT 部門的事故，而是可能讓一家公司停業的經營風險。這篇文章先把兩起事件的公開事實整理清楚，再談企業這一週就該做的五件事。這是「AI 時代的資安底線」系列的第一篇。
91APP：從發現到重大訊息，約兩天
依 91APP 的重大訊息與官方說明，目前公開的事實如下：
- 事件。Commerce Cloud 資料庫受到自動化攻擊，部分資訊遭非法擷取。媒體報導公司於 10 月 14 日發現，10 月 16 日發布重大訊息。
- 處置。已獲得控制、已向警方報案；依個資事故流程召開應變會議，委請第三方資安單位調查，並依法通報主管機關。
- 改善方向。官方列出五點：升級全天候監控、委外第三方調查並在主機部署防護、強化自研系統與第三方系統及辦公室之間的網路隔離、依調查持續優化防護、依法通報並以電子郵件通知受影響客戶。
- 防詐。公司已透過電子郵件等管道進行反詐騙宣導，提醒消費者留意冒用品牌名義的詐騙。
受影響的資料類型、筆數與客戶數，目前都沒有公布。由於已進入司法調查，加上上櫃公司的發言受到規範，公開資訊相對謹慎是可以理解的。本文不推測攻擊成因，只看公司做了哪些動作。
Zeabur：兩次事件之後，選擇結束營運
Zeabur 是台灣團隊開發的雲端部署平台，讓開發者不必自己管伺服器就能把網站與服務上線。依官方狀態頁、用戶信件與多家媒體報導，時間線如下：
- 8 月 27 日，第一次事件。部分專案的環境變數遭未授權存取。環境變數裡通常放的是 API 金鑰、資料庫連線字串與雲端服務金鑰。依下游業者引述的官方公告，事件與 AI 閘道元件 LiteLLM 的可疑活動有關，平台的 AI Hub 服務一度暫停。後續的賠償範圍明確涵蓋 OpenAI、Anthropic、Gemini、OpenRouter 等 AI API 金鑰遭盜用所產生的費用。
- 10 月 14 日晚間，第二次入侵。狀態頁在 10 月 16 日凌晨先說明影響限於退場中的共享叢集，幾個小時內兩度更新：攻擊者握有平台資料庫的讀取權，架設在 Google Cloud 上的部分專用伺服器也遭存取。外流資料包括用戶服務的環境變數、帳號資訊與 API Token。官方說明中提到，不支援權限範圍與有效期限的舊版 API Key，是影響擴大的主因之一。
- 10 月 17 日，宣布停止營運。新購停止、12 月 1 日起陸續關機、12 月 31 日前全面關閉，同時受理餘額退款與資安損失賠償。
創辦人在信中提到，n8n、OpenClaw 與 Vibe Coding 為雲端部署帶來前所未有的需求，系統從三年半前的快速開發專案一路調整架構，而今年下半年的兩起事件，讓團隊看清自己在系統安全與維運上的不足。重新評估投入與責任之後，他們決定結束營運。
一家雲端新創在一年內兩度出事後收攤。對它的用戶來說，這已經不是資安問題，而是營運持續問題。
兩起事件的共同訊號
把細節放下，兩起事件有三個訊號值得企業主注意。
第一，攻擊已經是自動化的。91APP 的重大訊息用的字眼是「自動化攻擊」。攻擊者不需要盯著某一家公司，而是用程式大量掃描、嘗試、擷取。AI 讓撰寫與調整這類工具的成本再降一個量級。對中小企業的意義是：「我們公司小，駭客不會找上我們」這個假設已經不成立，被掃到只是時間問題。
第二，AI 金鑰成了最直接變現的戰利品。Zeabur 第一次事件的賠償範圍特別點名了 AI API 金鑰的盜用費用。一般資料外洩，攻擊者還要轉手、還要找人買；AI 金鑰外洩，對方拿到就能直接刷貴司的帳單。企業導入 AI 越深，環境變數裡這類金鑰就越多，這是下一篇要談的主題。
第三，揭露的方式本身就是信任資產。上櫃公司有重大訊息規範，揭露內容保守但時點明確。新創的狀態頁在一天內三度修正影響範圍，用戶的不確定感也跟著放大。這裡不是要評斷誰對誰錯，而是提醒企業主：貴司自己出事的那一天，要說什麼、對誰說、多快說，最好現在就想清楚，這會在系列第四篇展開。
這一週，企業該做的五件事
不論貴司有沒有直接使用這兩家的服務，以下五件事都值得這週完成：
- 盤點用了哪些雲端與 AI 服務。包括外包廠商幫貴司架設的。很多企業是在出事後才發現，自家的官網、表單或內部工具其實架在某個平台上。
- 輪替金鑰與密碼。如果有服務曾部署在受影響的平台，所有放在環境變數裡的 API 金鑰、資料庫密碼、雲端憑證都應該換掉，而不是等確認外洩才換。
- 檢查 AI 服務的帳單與用量。OpenAI、Anthropic、Google 等 AI 服務的後台都看得到用量曲線。異常的用量高峰往往是金鑰被盜用的第一個訊號。順手設定用量上限與告警。
- 提醒員工與客戶防詐。如果貴司是電商品牌，消費者資料可能經過受影響的系統。主動提醒客戶「我們不會要求操作 ATM 或提供驗證碼」，成本很低，能擋下很多後續損失。
- 確認資料匯得出來。對每一個關鍵的雲端服務問一句：如果它下個月停止營運，我們的資料能不能完整匯出、多久能搬完？答不出來，就是下一個要處理的風險。
接下來四篇要談什麼
這兩起事件不會是最後一次。AI 讓企業的系統變多、金鑰變多、上線速度變快，攻擊的成本卻同時變低。這個系列接下來四篇，會從這兩起事件延伸到企業可以直接採用的做法：
- 第二篇：環境變數裡的 AI 金鑰為什麼等於現金，以及金鑰治理的實務做法。
- 第三篇：雲端供應商明天收攤，貴司有幾天可以搬家？供應商風險盤點表。
- 第四篇：發現被駭之後的 48 小時，企業資安事件應變流程。
- 第五篇：AI Agent 與 Vibe Coding 進公司之後，中小企業的 AI 資安最低基準。
常見問題
我們公司沒有用 91APP 或 Zeabur，需要做什麼嗎？
建議仍然完成文中的五件事。這兩起事件反映的是雲端服務與 AI 金鑰的普遍風險，與使用哪一家無關。特別是第一件：很多企業並不清楚外包廠商把自家系統架在哪些平台上，盤點後才發現有間接依賴。
為什麼說 AI 金鑰外洩比一般資料外洩更急？
因為它可以立刻變現。攻擊者拿到 AI API 金鑰後，可以直接用貴司的帳戶呼叫模型，費用記在貴司的帳單上，Zeabur 第一次事件的賠償範圍就包含這類費用。發現得越晚，損失越大，所以輪替金鑰與設定用量上限要優先處理。
91APP 事件的攻擊原因是什麼？
截至 2026 年 10 月 17 日，91APP 已報案並委請第三方調查，官方尚未公布攻擊成因、受影響資料類型與筆數。本文只引用公開的重大訊息與官方說明，後續請以公司公告為準。
如果貴司想知道自己的系統與 AI 服務散落在哪些平台、哪些金鑰需要立刻處理，歡迎聯絡品得網絡。第一步通常是一份雲端與金鑰盤點，不需要動任何既有系統。
資料來源：91APP 重大訊息與官方事件說明（2026/10/16）、Zeabur 官方狀態頁與用戶信件（2026/10/17），以及 iThome、TechNews、INSIDE、電腦王阿達等媒體報導。
