韓國會計與 ERP 軟體商 Douzone Bizon 兩度通報資安事件：Smart A 10 開發伺服器遭冒用 VPN 帳號存取、備份伺服器的加密資料疑遭帶出，科技部 10 月 25 日組民官聯合調查團
趨勢新聞2026 年 10 月 28 日
Douzone Bizon（더존비즈온）是韓國公司拿來記帳、報稅、算薪水的軟體廠商，賣 ERP（企業資源規劃，把會計、人事等串在一起的系統）和雲端備份。它在 10 月 16 日、21 日兩度向韓國政府通報資安事件：一是會計服務 Smart A 10 的開發伺服器出現攻擊跡象，有人用員工的 VPN 帳號登進內部系統查資料，二是公司說 APO 備份服務的伺服器出現部分加密資料被帶出去的跡象，個資是否外流還在查。韓國科學技術資訊通信部（簡稱科技部）10 月 25 日認定這是重大事故，組成民間與政府的聯合調查團。Smart A 10 的公告列出，可能外流的包括客戶公司所管理的姓名、身分證號、銀行帳號。本站的讀法：同樣把帳務、薪資或備份委外給雲端廠商的台灣公司，可以藉這件事檢查自己的廠商。
兩件事各是什麼
Douzone 各發了一份公告。10 月 18 日那份講 Smart A 10：開發用伺服器出現攻擊跡象，調查發現 10 月 15 日有身分不明的人用 VPN（遠端連進公司內網的通道）帳號登入、查詢資料。可能外流的是部分客戶公司所管理的姓名、住民登錄號碼（韓國的身分證號，後 6 碼有加密）、銀行帳號（加密）、地址、手機號碼與電子郵件。公司已停用該帳號與那項 VPN 功能、封鎖海外 IP。
10 月 23 日那份講 APO 備份：公司檢查服務時看到異常，去問備份方案的供應商，對方告知方案有漏洞；內部調查後，公司「確認備份伺服器內部分加密資料被帶出外部的跡象」（本站譯）。哪些客戶受影響還沒查清，公告也寫「沒有發現加密金鑰外流的跡象」（本站譯）。拿保險箱比喻，公司說疑似被搬走的是上鎖的箱子，目前沒發現開箱的鑰匙也被拿走；這不等於已證實資料打不開，要等調查結果。兩份公告都強調只是預先通知「可能外流」，兩件事有沒有關聯也還在確認。
政府為什麼介入
科技部 10 月 26 日的新聞稿說，它和韓國網路振興院（KISA）在兩次通報後立即（10 月 16 日、21 日）要求 Douzone 保全資料，10 月 25 日緊急召開「侵害事故調查審議委員會」，委員們認為「這次侵害事故屬於重大事故，須組成民官聯合調查團」（本站譯）。科技部說決定時「綜合考量損害擴散到客戶公司的可能性與波及影響」（本站譯）。調查團由科技部官員帶隊、納入民間專家，科技部說會「將結果透明公開給國民」（本站譯）。新聞稿沒有寫哪次通報對應哪一件事。
這個委員會是隨 10 月 1 日施行的《資訊通信網法》新設的法定委員會。Douzone 兩位共同代表 10 月 26 日發表致歉文，說公司已投入約 160 億韓元做資安（以臺灣銀行 10 月 28 日韓元現金買入、賣出價的中間值 0.02439 換算，約新台幣 3.9 億元），並說目前提供給客戶的服務未受影響。
跟 Ahsay 漏洞有什麼關係
Douzone 的公告只寫「備份方案供應商」。據資安媒體 DailySecu（데일리시큐）、디지털투데이、THE ELEC（디일렉）與정보통신신문報導，公司說供應商是 Ahsay。정보통신신문另引述公司說法，稱這是與 Ahsay 方案漏洞相關的「零時差」（zero-day）事件；本站無法獨立確認這個定性。THE ELEC 寫，它問公司這次是不是 Ahsay 近期修補的 CVE-2026-105133、CVE-2026-105134，公司沒有證實。
這兩個漏洞本站 10 月 9 日報過。之後 Ahsay 在 10 月 10 日公告承認先前的 10.3.4.0「沒有完全修補」這兩個漏洞（本站譯），要求使用受影響 v10 版本的夥伴安裝 10.3.4.45 熱修補，裝完重新開機。本站的讀法：Douzone 事件是不是這兩個漏洞，目前沒有官方文件證實，要等調查團公布。
各家怎麼報
APO 公告的日期：Douzone 網站標 10 月 23 日，디지털투데이也寫 23 日；THE ELEC 寫公司 26 日公告。「客戶公司 15 萬家以上（2024 年累計）」只有 THE ELEC 報，本站讀到的官方文件沒有這個數字。
台灣有沒有對應制度、會不會受影響
本站讀到的公告對象是韓國的 Smart A 10 與 APO 備份客戶，沒有讀到台灣客戶受影響的資料。制度方面，台灣的《資通安全管理法》主要管公務機關，以及經指定的關鍵基礎設施提供者等「特定非公務機關」；民間公司的個資外流，看現行有效的《個人資料保護法》第 12 條：違反個資法規定，致個資被竊取、洩漏等，應查明後以適當方式通知當事人。
本站的讀法：提醒在備份這一層。備份裡若放著完整的帳務或員工資料，一旦外流又能被解讀，風險跟正本外流相近；本案備份內容與能否解密都還不明。若公司的雲端備份委外給代管商，可以問三件事：用的是不是 Ahsay，若是受影響的 AhsayCBS v10，是否已裝 10.3.4.45；備份資料有沒有加密、金鑰放在哪裡；廠商出事時多久通知我們。