「不是我們的 APP」，但客人只記得是摩斯寄來的

最先發現的人，是收到信的客人

想像一間連鎖店把會員名冊交給外面的印刷行去印 DM。有一天，好幾位會員打電話到總店：「你們寄來的這封信怪怪的。」總店這才知道，名冊在印刷行那邊被人拿走了，而對方用的是總店的名字。

2026 年 10 月 1 日傍晚，經營摩斯漢堡的安心食品（1259）在公開資訊觀測站發了一則重大訊息（媒體記錄的時間是 18 點 56 分前後，事實發生日填 115/10/01）。重訊的意思是：公司接到少數消費者反映，委外廠商管理的一個平台疑似被第三方不當取得資料，對方拿這些資料寄 email 給消費者。重訊也特別寫明，這個平台「非屬本公司自有之 MOS 訂餐 APP 系統」。

先講清楚這份第一手文件的性質。重訊是法遵文件，回答交易所要求的幾個固定欄位，不是事件調查報告。當天晚上三立、ETtoday、TVBS、聯合、鏡週刊、NOWnews 都有報導，但內容幾乎全是重訊的轉述；沒有一家寫出平台名稱、廠商名稱、筆數或信件長什麼樣子。所以這篇能證明的不多，能推論的稍多，空白的最多，下面會分開擺。

主旨：本公司接獲消費者反應疑似個資外洩事件
發生緣由：近日接獲少數消費者反映，於本公司委外廠商管理之平台，
疑似有第三方不當取得資料並透過電子郵件聯繫消費者。
處理過程：已啟動資安應變作業，責成委外廠商立即進行相關修補改善；
於官網及 APP 頁面加強反詐騙宣導。
說明：本次涉及之平台由委外廠商管理，非屬本公司自有之 MOS 訂餐 APP 系統。
影響：截至目前為止對公司財務及業務並無重大影響。
後續：持續強化委外廠商之資安管控機制。

把能查到的時間排開，最重要的那幾格是空的。

1. 未公開
   第三方開始從委外廠商的平台取得資料
   重訊與所有報導都沒有提到起始時間
2. 2026-10-01 之前（「近日」）
   少數消費者收到以品牌名義寄出的可疑 email，向摩斯反映
   重訊「近日接獲少數消費者反映」；三立另提到有人接到詐騙電話，其他媒體只寫 email
3. 2026-10-01 傍晚
   安心食品發布重訊，承認委外廠商平台疑似遭第三方不當取得資料，已責成廠商修補
   公開資訊觀測站重訊，事實發生日 115/10/01；TVBS 記為 18:56
4. 2026-10-01 晚間
   多家媒體報導，摩斯在官網與 APP 加強反詐騙宣導，提醒撥 165 或客服 0800-208-128
   三立、ETtoday、TVBS、聯合、鏡週刊報導
5. 未公開
   平台名稱、廠商名稱、受影響筆數與欄位
   截至 2026-10-02，重訊與報導皆未揭露

最貴的那一格是第一格：資料在廠商那邊被拿走多久了，沒人知道。

不是監控發現的，是客訴

重訊第一句話就交代了發現的方式：「接獲少數消費者反映」。不是廠商的告警，也不是公司的稽核，而是客人收到信、覺得不對，打了客服。

這件事值得停下來想一下。一份客戶名單從被拿走、被整理、被寫成釣魚信、寄出、有人起疑、打電話、客服回報、資安確認、法務評估、發重訊，每一步都要時間。等到「少數消費者反映」的時候，已經有一批信寄出去了，而且照常理，打電話來的人只是收到信的人裡面的一小部分。

攻擊者怎麼做到

到這裡，其實已經足夠理解整起事件。如果你關心的是該怎麼避免，可以直接往「如何避免」繼續閱讀。如果你想知道公開資料能還原到哪一步，下面開始進入技術拆解。

白話結論：攻擊者沒有打進摩斯，打進的是一家替摩斯管資料的廠商；他拿到的是一份「確定是這個品牌客人」的名單，再用品牌的名義寄信。中間怎麼進去、拿了什麼，公開資料都沒有寫。

五格裡只有第四格有原文支撐，其他四格都是空白。這不是重訊寫得差，而是它本來就不回答這些問題。

這次外洩了什麼

重訊沒有提到任何帳號、密碼、金鑰或 token，所以這是資料外洩，不是憑證外洩。可是「資料」這兩個字裡面裝了什麼，也沒有寫。

第一列標推論，是因為重訊只寫「透過電子郵件聯繫消費者」；能寄到信，就一定有 email，但「是從這個平台拿到的 email」仍然是重訊用「疑似」兩個字保留的說法。

他們怎麼處理

照重訊的說法排一次。先是接到客訴、啟動資安應變；接著責成委外廠商立即修補改善；對外的動作是在官網與 APP 加強反詐騙宣導，媒體也同步轉述了 165 反詐騙專線與客服電話；財務評估是「截至目前為止對公司財務及業務並無重大影響」；往後的承諾是「持續強化委外廠商之資安管控機制」。

公開資訊能拿到的處置全貌就到這裡。修補了什麼、廠商是否已確認入侵路徑、是否逐一通知受影響的消費者、是否通報主管機關，重訊都沒有寫。

哪裡做對，哪裡做錯

做對的地方，是確認之後當天就發重訊，沒有等廠商查完才說；也馬上在官網與 APP 放反詐騙提醒，讓還沒收到信、或收到信還在猶豫的人有地方查證。這兩件事對已經寄出去的釣魚信是最快的減損。

該改的有兩處。第一是那句「非屬本公司自有之 MOS 訂餐 APP 系統」。對投資人來說，它在回答「核心系統有沒有事」，這個資訊有價值；可是對收到信的客人，它回答不了任何問題。客人給的是摩斯，信寫的也是摩斯，至於資料放在哪一家廠商的機房，客人既不知道，也不需要知道。依個資法第 4 條，受託蒐集、處理或利用個資的廠商，在法律上就視同委託者本身；責任可以在合約裡分攤，但在客人眼裡不會分。

第二是偵測。這次是客訴先到，監控沒有先響。這不一定是摩斯或廠商哪一方的疏失，因為委外平台的紀錄通常本來就不在品牌手上；但這正好就是問題：如果你沒辦法看到廠商那邊的紀錄，就要另外找一個你自己看得到的訊號。

如何避免

今天就能做的一件事，是列一張表：你的客戶姓名、電話、email 實際存在幾個外部平台裡。不要只寫你記得的那幾個，把行銷信工具、表單問卷、抽獎活動頁、外送串接、客服系統、POS、會員點數，全部列上去。每一列寫上廠商、裡面有哪些欄位、合約有沒有寫出事時要在幾小時內通知你。多數公司第一次列，都會比自己以為的多出一半。

本週可以做的是兩件不用花錢的事。一是在每個廠商的客戶名單裡，各放一個只用在那裡的誘餌信箱（例如 vendor-a-canary@ 你自己的網域）。這個信箱平常不會收到任何信，一旦收到，就代表那份名單已經流出去了，而且你會知道是哪一家流出去的；這就是你自己看得到的訊號，不需要廠商配合。二是把自家網域的 DMARC 調到 quarantine 以上，並在官網寫清楚官方寄件網域，以及「我們不會用 email 要你做的事」。

這一季要做的是合約。新簽與續約的委外合約加上三條：事故通知時限（例如確認後 24 小時內）、品牌方可以調閱存取紀錄、合約結束時資料刪除並出具證明。不用一次全部改完，從存放欄位最多的那一家開始。

這篇提到的項目要花多少錢

屬於本案又能證明的金額只有一個說法：重訊寫「對公司財務及業務並無重大影響」，這不是數字。其他每一列不是空白，就是拿來對照的別人的數字。

這張表最值得看的是第二列：能讓你比客訴更早知道的那個訊號，成本幾乎是零。

你可以學到什麼

站在攻擊者那一側看，這筆生意划算的地方在於他不用面對品牌的資安團隊。大品牌的 APP 有人顧，但替它管行銷名單、活動頁、問卷的小廠商，通常只有一兩個工程師。打進去之後拿到的不是散裝 email，而是「確定是某品牌客人」的名單，再用品牌的名義寄一封「點數即將到期」或「訂單退款」，收件人本來就有在用，很難不點。

跟我們的防暴筆記對照

對照 INC-2026-0827（排程回報「找不到帳戶」，被停權的是整個專案）。

相同的地方是：兩次都是別人先發現。0827 是雲端服務商先發現異常、停權了整個專案，我們才知道金鑰外洩了 15 天；這次是客人先收到信、打了客服，公司才啟動應變。兩次的教訓一樣：如果你唯一的偵測方式是「有人來跟你說」，你看到的永遠是變現階段，不是入侵階段。

不同的地方是：0827 的金鑰在我們自己的環境裡，我們至少有日誌可以回頭查；這次資料在廠商那邊，品牌方能回頭查的東西更少。所以委外場景更需要一個自己看得到的訊號，誘餌信箱就是最便宜的那一個。

回到那間印刷行

名冊是在印刷行被拿走的，但會員打電話找的是總店，信上寫的也是總店。總店可以在公告裡說明名冊不是在自己這邊流出去的，這句話是事實，只是對收到信的會員沒有幫助。

重訊寫「截至目前為止對公司財務及業務並無重大影響」。以 10 月 1 日當晚來說，這句話大概是對的。這類事件真正的帳單，會在接下來幾週一封一封寄到客人的信箱裡。