日本 ACCESS 台灣子公司的跨境電商服務 CROS 遭入侵：15 萬 5,280 筆顧客 ID 外流，入口是只提供給一家客戶的 BI 工具，攻擊者還用被盜的寄信金鑰寄出 11,441 封信

趨勢新聞2026 年 10 月 17 日

東京證券交易所 Prime 市場上市的日本軟體公司 ACCESS（代號 4813）2026 年 10 月 15 日公告，台灣子公司 ACCESS AP TAIWAN（下稱 AP 台灣）提供給「進軍海外的電商業者」的業務支援服務 CROS 遭第三者不正存取，客戶經營的網購服務的顧客個資外流。公告列出的範圍：顧客 ID 15 萬 5,280 筆、訂單 ID（受注 ID）23 萬 1,998 筆，項目是姓名、電話、地址、電子郵件與相關訂單資訊，地區為台灣、香港、澳門、新加坡，沒有分地區的筆數；信用卡資料累計 1,671 件、比對重複後 1,305 個帳戶。入侵的起點是 AP 台灣只提供給「特定一家」客戶的 BI（商業智慧）工具。

依公告的時間線，AP 台灣 9 月 11 日偵測到 CROS 使用的伺服器有不正存取的徵候，當下緊急停機、隔離並開始調查，之後確認經由該伺服器可讀取的個資與部分設定資訊被取走。從偵測日到 10 月 15 日公告日，相隔 34 天。ACCESS 寫道，截至公告時「沒有確認其他客戶企業相關的個資外流」（本站譯）。

信用卡那 1,671 件怎麼讀

公告的註記把信用卡數字拆得很細。1,305 個帳戶裡，4 件外流的是公告列出的全部項目，包括卡號、安全碼、有效期限、姓名與對應的顧客 ID、訂單 ID；其餘 1,301 件外流的是安全碼以外的資訊。外流的卡片資料「只限信用卡付款尚未完成的訂單」，付款完成時系統原本就不保留信用卡資訊（本站譯）。本站依公告計算，累計 1,671 件對 1,305 個帳戶，平均每個帳戶約 1.28 筆，公告說差額來自重複登錄與多次下單；訂單 ID 對顧客 ID 約 1.49 比 1。公告沒有說明帳戶與顧客 ID 怎麼對應，所以這兩組數字不宜直接相除當成受影響顧客的比例。

處置分成已做與預定兩類。已做的是：對運作中系統的所有客戶實施信用卡資訊遮罩；金流服務的密鑰，截至公告時「一部完成、一部作業中」更新。預定的是修改 CROS 程式，讓付款未完成的卡片資訊也不再保留。另有一項「決済サービス関連」：外流的還包括所使用的金流服務帳戶資訊，公告沒有交代帳戶歸屬、是哪家金流商或哪些欄位。

ACCESS 判斷：11,441 封信用的是攻擊者自備的名單

公告另外揭露，攻擊者用從伺服器竊取的「郵件寄送服務的金鑰資訊」寄出 11,441 封未經授權的郵件。ACCESS 依郵件分析判斷，收件名單是入侵者另外準備的，不是這次外流的個資本身（本站譯）。AP 台灣已讓原有的寄信認證資訊失效並更新。

本站的讀法：不能單憑有沒有收到這批郵件，判斷自己的資料是否外流。這份公告沒有說明兩份名單的重疊程度，也沒有揭露這批郵件的內容與顯示的寄件身分。這起事件除了個資外流，也涉及寄信服務的憑證被拿去濫用。

誰會通知、通報了誰

這份公告沒有寫出那一家客戶的名稱，也沒有列出受影響的網購網站。公告寫的是：通知網購顧客的工作由經營相關網購服務的業者執行；使用該 BI 工具的業者已向個人情報保護委員會報告；AP 台灣也向台灣當局報告，公告沒有指明是哪個機關。ACCESS 預估對集團合併業績的影響輕微，仍在細算。

ACCESS 依調查與日誌分析判斷，入侵發生在 BI 工具的應用程式層，沒有偵測到 BI 工具可讀取的資料庫以外受影響，也沒有偵測到直接侵入 CROS 本體基礎系統的跡象。公告沒有揭露的包括：具體入侵手法、最早入侵時間與停留期間、受影響的網站數量。

TVBS 10 月 16 日〈網購族注意！日企台灣子公司遭駭　15.5萬筆個資外洩、信用卡也遭殃〉報導的筆數、地區與 11,441 封信，與 ACCESS 原文一致。