外洩的是姓名和公務聯繫方式，
那正好是一份收件人名單

那天晚上，兩家公司在兩分半內各發了一封重訊

公司門口那張分機表，多數人覺得它無害：誰坐哪、誰的分機幾號、誰管哪一塊。可是對一個想騙錢的人來說，那張表就是劇本——他知道該冒充誰、寫信給誰、用什麼口氣講什麼事。

2026 年 9 月 15 日晚間 21 點 26 分（台北時間），長榮航空在公開資訊觀測站發出重大訊息，符合條款第 26 款，事實發生日填 115/09/15。全文七條，講外洩的只有一句話。兩分二十六秒後，同集團的長榮航太也發了一封，主旨是「公司部分資訊系統遭受網路攻擊」。三天過去，兩家都沒有第二封。

這篇不猜是誰做的，也不猜他怎麼進來的——公開資料不支持。這篇只做一件事：把一份法遵文件讀到它能支撐的最後一句，然後在那裡停下來。

原始事件在這裡：公開資訊觀測站的重大訊息查詢（公司代號 2618 與 2645、日期 115/09/15，這是第一手）；媒體報導見 東森新聞、iThome、ETtoday。文末「來源」區有完整清單。

長榮航（2618）21:26:32　主旨：本公司發生網路資安事件
2.發生緣由:本公司發現有不明人士透過惡意IP入侵本公司內部資訊環境，取得員工姓名與公務聯繫資訊。
3.處理過程:…已立即依公司程序應變，並採取必要的防護措施將影響降到最低。本公司已主動通報相關主管機關，並公告全體同仁知悉。
4.預計可能損失或影響:目前評估對公司所有業務均不受影響。
5.可能獲得保險理賠之金額:不適用。

長榮航太（2645）21:28:58　主旨：公司部分資訊系統遭受網路攻擊
2.發生緣由:本公司發現部分內部資訊系統遭受網路攻擊。
3.處理過程:…已即刻啟動資安應變機制，對受影響設備進行隔離，並委請外部資安技術團隊協助鑑識，後續將依程序向主管機關通報。
4.預計可能損失或影響:…核心資訊系統及營運業務運作皆維持正常，尚未發現公司及涉客戶或第三方敏感個資外洩情事。

兩封的差別值得停一下。一封說「已主動通報」，一封說「後續將依程序通報」；一封沒提鑑識，一封寫了委外鑑識與設備隔離。同一個集團、同一個晚上，用字卻是兩套。這不代表誰做得好誰做得差——重訊是法遵文件，不是事件報告，它只回答交易所要的七個欄位。但它也因此提醒了一件事：你能從公開資訊看到的，永遠是事件的影子，不是事件本身。

至於「惡意 IP」，那是一個來源描述，不是手法描述。從一個外部位址走到把員工名冊拿走，中間一定還有別的東西——一個對外的介面、一組可用的身分、一段沒人看的日誌。重訊沒說，我們就不猜。

把能查到的日期排開，會發現能填的格子比空的少。

1. 2026-09-15 21:26:32 (UTC+8)
   長榮航空發布重訊：惡意 IP 入侵內部資訊環境，取得員工姓名與公務聯繫資訊；已主動通報主管機關
   公開資訊觀測站重訊原文，事實發生日 115/09/15
2. 2026-09-15 21:28:58 (UTC+8)
   長榮航太發布重訊：部分內部資訊系統遭攻擊，隔離受影響設備、委外鑑識，尚未發現客戶或第三方敏感個資外洩
   公開資訊觀測站重訊原文，事實發生日 115/09/15
3. 2026-09-15 22:10 (UTC+8)
   媒體開始報導，內容以重訊原文為主
   東森新聞等多家媒體
4. 2026-09-16
   部分媒體轉述「9 月 14 日偵測到內部資訊環境異常活動」
   媒體轉述，未見於任何一封重訊原文；兩家的事實發生日都填 115/09/15
5. 入侵實際開始時間
   不明。從第一次進來到被偵測隔了多久，沒有任何公開資訊
6. 2026-09-18
   查詢公開資訊觀測站 115/09/01–09/18，兩家公司各只有這一封重訊，無後續說明筆數或範圍
   本站於 2026-09-18 逐日查詢重訊清單

最貴的兩格是空的：入侵什麼時候開始，以及它在被看見之前活了多久。

這次流出的是資料，不是憑證

沒有任何一封重訊提到帳號、密碼、金鑰或 token。所以這是一次資料外洩，不是憑證外洩——但資料一樣有變現路徑，而員工名冊的路徑短得嚇人。

前兩列是重訊寫死的，後三列是重訊沒寫的。沒寫不等於沒發生，只代表外界無從判斷——而寫死的那兩列，逐字都回得到申報全文。

外界看到的第一個訊號，就是那封重訊

「怎麼發現」通常是最有料的一節。這一次，它是空的。

兩封重訊都沒有寫是誰發現、用什麼方式發現、從哪一個告警開始。部分媒體在 9 月 16 日轉述「9 月 14 日偵測到內部資訊環境異常活動」——這句話不在任何一封重訊原文裡，而兩家的事實發生日都填 115/09/15。申報全文與媒體轉述打架時，以申報全文為準。

所以外界能看到的第一個訊號，其實就是 21:26:32 那封重訊本身，再來是不到一小時後開始的媒體報導，內容幾乎都是原文複述。這起事件從頭到尾，外面的人沒有看到任何一個屬於「偵測」的畫面。揭露得快是好事，但快，不等於外界知道得多。

攻擊者怎麼做到的：五個階段，五個問號

公開資料不足以回答這一節，所以下面的攻擊鏈沒有一格填得滿。

能講的只有那份名冊為什麼值錢。姓名對得上公務信箱、分機、職稱之後，攻擊者手上就有三樣東西：收件人清單（寄給誰）、冒充對象（用誰的名字）、話術素材（用什麼理由）。接下來的標準動作是註冊一個長得很像的網域、用名冊裡的真實姓名署名，寄信給財會或採購，要求變更匯款帳號——這就是 BEC。它不需要再打進公司一次，只需要一份夠準的名冊和一點耐心。

五格填不滿，還有一個更實際的後果：IOC 一個都沒有。攻擊端網域、IP、檔名、雜湊、工具、錢包，公開資訊全部沒有。我們不會為了填滿表格去引用社群上「據說是某某組織」的說法——那是三手資訊，拿去當獵捕條件只會浪費同事的時間。等鑑識結果或主管機關資訊公開後，我們會回來補。

名冊的下游長什麼樣，倒是有旁證可以參考，只是每一條都停在推論。

他們怎麼處理：兩封重訊說得出來的部分

照兩封重訊自己的說法，把那一晚重排一次。偵測那一格是空的，前面說過了。往下是圍堵：長榮航空寫「已立即依公司程序應變，並採取必要的防護措施將影響降到最低」，長榮航太寫「即刻啟動資安應變機制，對受影響設備進行隔離」——後者是一個具體動作，前者是一句概括。

清除只有一家寫了：長榮航太委請外部資安技術團隊協助鑑識，長榮航空的重訊沒有提到鑑識；鑑識結果到 9 月 18 日仍未公開。復原那一格兩家都給了結論——業務不受影響、核心系統運作正常、尚未發現客戶或第三方敏感個資外洩。最後是通報與告知：長榮航空已主動通報主管機關並公告全體同仁，長榮航太寫的是後續將依程序通報。

一封完成式，一封未來式。外界能從公開資訊拿到的處置全貌，就到這裡為止。

揭露得快，說得少

先講做對的，而且只評公開得到的動作。事實發生日當天就揭露，沒有等查清楚才說；長榮航空主動通報主管機關並公告全體同仁，讓當事人至少知道這件事發生過；長榮航太先隔離受影響設備、再委外鑑識，順序是對的——保住現場，事後才有機會說清楚。兩封都沒有揭露惡意 IP 位址與內部路徑，這同樣是對的克制，那種東西本來就不該寫進重訊。

該改的地方也很集中。三天過去，沒有筆數、沒有欄位清單、沒有涵蓋單位，外界無法判斷是否觸及個資法第 12 條的通報門檻；「公告全體同仁知悉」不等於逐一通知當事人，也沒有說明是否提供後續監控；同集團兩封用字兩套，外界無法判斷是否同源、是否同一套處置標準。最後是那件對同業最傷的事——沒有釋出任何可比對的 IOC。

揭露速度是給主管機關看的，揭露內容是給同業看的。這一次前者滿分，後者空白。

名冊會不會外洩你管不到，那封信能不能寄到你的財會手上，你管得到

今天就能做完的是兩件唯讀的事。一是查自家網域的 SPF、DKIM、DMARC 現況：沒有 _dmarc 記錄或停在 p=none，代表冒名寄信既擋不住，也不會有報表告訴你有人在冒名。二是把財會、人資、採購、IT 管理員這四類帳號的 MFA 覆蓋率調出來看，只看報表、不改設定；覆蓋率不是 100% 的名單，本週就排進去。

本週要處理的是流程，不是設備。把「匯款帳號變更」與「薪轉帳戶變更」寫成一條不能用 email 完成的流程，一定要回撥名冊以外的既有電話號碼確認——這條流程擋掉的金額，比任何一台設備都多。同一週把 DMARC 從 p=none 調到 quarantine 或 reject，並確認 DKIM 選擇器真的在簽章，否則設了也很難通過對齊。

這一季的功課是盤點：員工名冊型資料到底放在哪些地方——HR 系統、共用雲端硬碟、印表機掃描資料夾、離職同事的信箱——並確認每一處都有存取紀錄，而且有人真的會看。目標很具體：讓「誰在非上班時間匯出整份名冊」變成一個會被看到的訊號，而不是一條沒人開的日誌。

這件事目前唯一確定的金額，是「不適用」

下面這張表刻意留白。合計只加可證明的那幾列，而唯一屬於本案又可證明的金額是 US$0——重訊第 5 條寫的「可能獲得保險理賠之金額：不適用」。

表裡看得到的數字都是別人的：全球平均、全球通報損失。屬於本案的每一格不是空白就是問號。這類事件的真相就是這樣——事發當下最確定的數字，往往是「保險不賠」。

帶得走的四件事

站在攻擊者那一側看，這筆生意的成本結構很簡單：他要的不是航空公司，是一份能對上姓名的公務信箱清單。姓名對得上職稱與單位的名冊，價值是散裝信箱的好幾倍；拿到之後註冊一個只差一個字母的網域，挑組織改組、旺季或連假前後動手——那是最容易相信「臨時換帳號」的時間點。而且名冊不會很快過期，今天用不上，半年後那個人升到有權簽核時再用。

跟我們的防暴筆記對照

對照 INC-2026-0827（排程回報「找不到帳戶」，被停權的是整個專案）。同一門生意，兩件不同的事。

同在哪：第二波才是重點。0827 那把金鑰外洩後，攻擊者的第一個動作不是開機器，是先測試這把鑰匙能用哪些 AI 模型——他在盤點變現菜單。名冊也一樣，拿走本身不值錢，值錢的是用它發動的第二波：姓名與公務信箱的組合，就是一份現成的「誰可以冒充、誰會付錢」清單。

不同在哪：通報的快慢。0827 是我們的痛處——金鑰從第一次被盜用到雲端服務商停權整個專案隔了 15 天，而且是對方先發現的；這次從事實發生日到公開揭露是同一天。但 0827 也教過我們，停權只是止血，真正的工作在後面。這次事件的「後面」，就是每一位被外洩的員工未來幾個月會收到比平常更像真的信。止血在 9 月 15 日晚上做完了，止痛得做一整季。

回到門口那張分機表

那張表現在到了別人手上。它不會被拿去賣門票，也不會出現在任何一個外洩網站的首頁——它會安安靜靜地躺著，等一封信該寄給誰的時候被翻開。

重訊寫「目前評估對公司所有業務均不受影響」。以 9 月 15 日那一晚來說，這句話大概是對的。這種事件真正的帳單，從來不在事發那一晚結算。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。