双十一前夕，骇客在中国大陆暗网「长安不夜城」兜售全家、宝雅、康是美、无印良品订单资料。91APP日前遭骇后，其不少客户资料遭窃，大陆骇客这次兜售4家企业客户资料，宣称与91APP有关，总共释出790万笔资料，总开价2997美元。

骇客日前运用ARTEX工具骇进91APP云端资料库，不少民众资料因此外流。骇客11月7日在中国大陆地下交易平台「长安不夜城」兜售4项企业客户资料，分别是全家行动购、宝雅、康是美、无印良品。

其中，全家行动购总共240万笔资料、开价999美元；宝雅240万笔资料、开价999美元；康是美190万笔资料，开价666美元；无印良品则是120万笔资料，开价333美元。

而这次兜售的资料样本中，资料涵盖项目不只有姓名、电话等基本会员资料，也涵盖订单编号、消费者姓名、电话、收件地址、商品名称、购买数量、单价、总金额、订单日期、付款方式、配送方式及订单状态等栏位。资安专家分析，从资料栏位与内容来看，样本具有实际交易纪录的特征。

4项兜售项目，总计790万笔资料，总开价2997美元。不过，这些数量目前仍是骇客单方面声称，尚无法确认实际资料笔数、完整性，以及是否全部与91APP事件有关。

资安专家表示，若骇客这次公开的资料，的确来自遭入侵的电商系统，那么，未来必须关两项关键发展，第一，若攻击者手中拿到的资讯，不只有消费者基本个资，还包括具体的购物内容与交易情境，可能会让消费者面临个资风险，并掀起新一波的精准诈骗；第二，受影响的企业，恐怕不限於单一品牌。

回顾91APP先前公布的调查结果，攻击者利用ARTEX AI自动化渗透工具，进一步存取Commerce Cloud订单资料库。由于无法精确判定攻击者实际存取了哪些订单，依最大可能影响范围估计，恐涉及1329个品牌、479.8万名消费者，受影响的资料包括姓名、电话、收件地址、电子邮件（若有提供）及订单纪录。91APP也表示，资料库不包含使用者密码、信用卡号等付款资料。

资安专家指出，91APP公布受影响的消费者人数约479.8万人，地下市场卖家宣称的790万笔，则是其所称的资料笔数，两者计算单位不同，不能直接视为相互矛盾，也不能据此认定地下市场资料已全部证实来自91APP事件。不过，电商平台集中管理大量品牌订单及消费者资料，一旦遭入侵，即使企业已阻断攻击、更换凭证及重建权限，遭取得的资料仍可能持续在地下市场流通。

台湾资讯安全协会（TWISA）监事、竣盟科技总经理郑加海指出，企业除了阻断入侵，更应验证整条攻击路径是否真正失效，回溯是否有其他金钥、存取权杖或资料库凭证遭读取或复制，并比对地下市场样本与内部资料，重新确认实际影响范围及是否存在转售情形。

值得警惕的是，疑似外流资料包含商品名称、交易时间、配送资讯及订单状态，攻击者可透过栏位交叉比对掌握消费者的购物情境，进而假冒品牌客服或物流业者，设计与真实交易高度吻合的诈骗讯息。

郑加海提醒，这类以真实交易资料为基础的高度精准情境式诈骗，将大幅提高社交工程攻击的可信度，甚至进一步诱骗消费者交出帐号凭证、简讯验证码或进行金融交易。企业应将资料遭滥用后的社交工程风险纳入事件应变；消费者也须留意，即使讯息能准确说出购买商品或订单细节，也不代表对方身分可信。