第一份重訊說「無重大影響」，第二份補上了玩家個資外洩

兩份重訊，隔了八天

一棟大樓的保全在監視器上看到一個陌生人走進機房，當天就廣播「有人闖入，初步確認財物無損」。八天後，第二次廣播：「清點完了，有幾個櫃子的住戶資料被翻走，我們已經一戶一戶打電話通知。」第二次廣播不是推翻第一次，是清點需要時間。

2026 年 9 月 29 日，遊戲公司鈊象（3293）在公開資訊觀測站發布重大訊息：資安團隊當天偵測到不明 IP 位址異常侵入公司的營運資訊設備，隨即啟動應變機制，初步評估對公司營運尚無重大影響。10 月 7 日晚間 19 點 29 分，第二份重訊「網路資安事件補充說明」上線，這次的內容具體得多：這起侵入造成遊戲營運資料外洩，其中包含部分遊戲玩家的姓名、電話、電子郵件；公司已依法通報個資主管機關，並透過 email 與簡訊通知受影響的當事人，提供專屬客服協助。

先講清楚這兩份第一手文件的性質。重訊是法遵文件，第一份的功能是「在知道的當天說出事了」，第二份的功能是「把查到的結果補上」。這篇要做的事，就是把兩份擺在一起讀：哪些字變了、哪些字多了、哪些問題兩份都沒有回答。

兩份重訊的關鍵句對照（鈊象 3293，經鉅亨網與 MoneyDJ 轉載）READ-ONLY

9/29 首份重訊（事實發生日 115/09/29）
發現不明 IP 異常侵入本公司營運資訊設備，
資安團隊當日偵測發現後，隨即啟動應變機制。
目前評估對公司營運尚無重大影響。

10/7 補充說明（發言時間 19:29）
不明 IP 異常侵入營運資訊設備，造成遊戲營運資料外洩，
包含部分遊戲之玩家姓名、電話、電子郵件之個資。
已依法通報個資主管機關，並透過電子郵件及簡訊
通知受影響之當事人，提供專屬客服協助。
將針對第三方系統與自行研發之系統，
強化網路隔離措施，降低橫向存取及滲透之風險。

把能查到的時間排開，最前面那一格照例是空的。

未公開
不明 IP 開始侵入營運資訊設備
9/29 是「偵測日」；侵入從何時開始、持續多久，兩份重訊都沒有寫
2026-09-29
資安團隊偵測到不明 IP 異常侵入，當日啟動應變機制
首份重訊原文：「資安團隊當日偵測發現後，隨即啟動應變機制」
2026-09-29
同日發布首份重訊：初步評估對公司營運尚無重大影響
公開資訊觀測站重訊，事實發生日 115/09/29
2026-09-29 至 10-07 之間
內部調查與外部專業團隊介入，釐清外洩範圍
補充說明列出「委由外部專業團隊調查」；調查的具體起訖時間未公開
2026-10-07 19:29
補充重訊：確認遊戲營運資料外洩，含玩家姓名、電話、email；已通報個資主管機關，並以 email 與簡訊通知當事人
公開資訊觀測站補充說明；iThome 2026-10-08 報導
未公開
外洩筆數、受影響的遊戲範圍、入侵方式
截至 2026-10-08，兩份重訊與報導皆未揭露

時間線裡最關鍵的數字不在表上：從侵入到偵測隔了多久。這個距離有個名字叫 dwell time，本案它還是空白。

這次是公司自己發現的

上週我們拆摩斯漢堡委外平台外洩時，發現的順序是：客人先收到釣魚信、打客服，公司才啟動應變。這次順序反過來了——重訊原文寫「資安團隊當日偵測發現後，隨即啟動應變機制」，發現者是自己的監控，不是受害者的來電。

這件事值得單獨放一節，因為它是整起事件裡最值得抄的部分。偵測不會讓事件不發生，但它決定了你是「主動說明」還是「被動承認」：自己先看到，你可以在攻擊者變現之前通知當事人；等別人告訴你，名單通常已經在釣魚信的寄件匣裡了。

攻擊者怎麼做到

到這裡，其實已經足夠理解整起事件。如果你關心的是該怎麼避免，可以直接往「如何避免」繼續閱讀。如果你想知道公開資料能還原到哪一步，下面開始進入技術拆解。

白話結論：進來的方式沒有公開。但補充說明裡有一句用未來式寫的話洩了題——「將針對第三方系統與自行研發之系統，強化網路隔離措施，降低橫向存取及滲透之風險」。公司承諾要加厚的那道牆，通常就是這次被穿過的那道。

深入閱讀對照 MITRE ATT&CK：四格裡兩格全空，一格是未來式進門與橫向兩格沒有直接證據，只有改善措施的反推

發生了什麼 · MITRE ATT&CK T1199

入侵管道未公開。公司事後點名「第三方系統」的網路隔離，iThome 據此推測第三方系統可能是管道——但沒有任何一份文件說出進來的方式。

當時留下的訊號

第三方系統的帳號或連線在非約定時段、非約定來源的活動。

能擋下它的控制

第三方連線走固定來源、固定時段、最小權限，偏離即告警。

四格裡證據最完整的反而是第三格的「結果」。進門和走動那兩格，我們只有改善措施的反面可以讀。

這次外洩了什麼

重訊確認的外洩內容是個資，不是憑證。但「遊戲營運資料」這個詞比「玩家個資」大，多出來的部分裝了什麼，沒有寫。

leaked credentials這次外洩了什麼：服務、用途、存在形式

服務	憑證類型	用途	存在形式	放在哪	權限範圍	狀態
遊戲營運系統（具體系統未公開）	玩家姓名、電話、email（個人資料，非憑證）	遊戲營運與玩家聯繫	`未公開`	公司營運資訊設備	「部分遊戲」的玩家；哪些遊戲、多少筆，未公開	已外洩；公司已通報主管機關並逐一通知當事人
同上	帳號密碼、付款資訊、儲值紀錄	—	`—`	—	兩份重訊都未提及；沒有提到不等於沒有發生，也可能是尚未確認或確認未外洩	無公開資訊
憑證類（管理帳號、API 金鑰、服務帳戶）	重訊未提及	—	`—`	—	入侵營運設備的過程是否接觸到任何憑證，未公開	無公開資訊
「遊戲營運資料」中非個資的部分	營運數據、設定、程式（推測範圍）	—	`—`	—	重訊寫「造成遊戲營運資料外洩，包含⋯⋯個資」——「包含」代表個資只是其中一部分，其餘是什麼未公開	無公開資訊

憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

表裡第四列值得多看一眼：「包含」兩個字說明個資只是外洩資料的子集，母集的大小沒有人說。

他們怎麼處理

照兩份重訊的說法排一次時間序。9 月 29 日當天：偵測、啟動應變機制、發布首份重訊。接下來八天：內部調查，並委由外部專業團隊介入。10 月 7 日：發布補充說明，確認外洩內容；依法通報個資主管機關；透過 email 與簡訊逐一通知受影響的當事人；開設專屬客服。承諾的改善是提升資安防禦，以及針對第三方系統與自研系統強化網路隔離。

對照上週摩斯的處理，有一個差異值得指出來：摩斯的對外動作是「官網與 APP 加強反詐騙宣導」，是對所有人廣播；鈊象是「email 與簡訊通知受影響之當事人」，是對中獎的人點名。個資法第 12 條要求的是後者——通知當事人，而不是提醒大眾。這一步鈊象做在法律要求的位置上。

哪裡做對，哪裡做錯

做對的集中在節奏：當天偵測、當天公告，八天內給出調查結果，而且第二份重訊比第一份更具體而不是更模糊；通知走 email 加簡訊的逐一通知，不是官網公告了事；主管機關的通報也做了。這套節奏可以直接當成中型企業的揭露範本。

該檢討的有兩處。第一，首份重訊的「目前評估對公司營運尚無重大影響」——這句話在 9 月 29 日寫下時，調查才剛開始，外洩範圍還不知道；八天後證實玩家個資外洩。「無重大影響」評估的是公司的財務與營運，不是玩家的風險，這是重訊格式的慣性，但讀的人很容易把它理解成「沒事」。第二，改善措施反推出來的那道牆：第三方系統與核心營運系統之間的隔離，是在事件之後才要「強化」的。牆要是本來就夠厚，這句話不會出現在改善清單裡。

如何避免

今天就能做的是列第三方系統清冊：金流、客服系統、數據分析、廣告後台、外包開發的維運通道，每一條寫上它能連到哪些內部系統、用什麼帳號、誰負責。這張表跟上週摩斯那篇的委外平台清冊是同一張表的兩面——那篇列的是「資料放在別人家」，這篇列的是「別人能走進你家」。

一個月內做的是把清冊變成網路規則：第三方系統放獨立網段，跨網段連線預設拒絕、逐條放行，每一條放行寫清楚來源、目的、埠號、用途；跨段流量全部留日誌。橫向移動擋不擋得住，九成取決於這一步做不做得徹底。

這一季做的是演練偵測到公告的流程。鈊象這次當天偵測、當天發重訊，背後需要的是資安、法務、發言體系在事前就對好的劇本。拿本案當桌上演練的題目：如果今天 10 點偵測到不明 IP 在內網走動，下午 5 點前你的公司發得出那份重訊嗎？

這篇提到的項目要花多少錢

本案能證明的金額是零筆——鈊象未揭露任何處理成本。表裡其他列是行情與對照，拿來感受量級用。

cost一次「自己先發現」的外洩，花的錢和省下的錢

項目	用量	單價	期間	US$	NT$	舉證
鈊象本次直接處理成本（外部調查團隊、逐一通知、專屬客服）	未揭露	—	本次事件	—	—	兩份重訊皆未揭露金額；「保險理賠：不適用」是唯一與錢有關的欄位
委外事件調查與鑑識（IR 團隊）估：依範圍與天數差異大	1 案	台灣市場一般行情，估 NT$500,000–3,000,000／案	一次性	—	—	市場估算，非本案資料
逐一通知成本（簡訊）估：電信市場公開牌價；筆數未公開無法合計	筆數未公開	每通約 NT$0.7–1.0	一次性	—	—	簡訊服務商公開報價
網路分段（防火牆規則與跨段日誌）估：人力另計	規則與日誌本身	多數防火牆與雲端安全群組不另收費；主要成本是規劃人力	一次性＋維護	0.00	0	各雲端服務商公開計價
對照基準：全球資料外洩平均總成本對照用，非本案金額；本案識別只花了不到一天（偵測當天公告），圍堵時間未公開	全球受訪組織平均	US$4.44M／起；平均 241 天才識別並圍堵	2025 年度報告	—	—	IBM Cost of a Data Breach Report 2025
個資法罰鍰風險（若經認定未落實安全維護）	單次裁處	未落實安全維護：NT$2 萬–200 萬，屆期未改正按次 NT$15 萬–1,500 萬	依主管機關裁處	—	—	個資法第 48 條；本案已依法通報，是否裁罰無公開資訊
合計（僅可證明列）				0.00	0

匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：鈊象兩份重訊、IBM 2025 報告、市場行情估算（2026-10）。「舉證」欄標明每筆損失的證據來源與等級（可證明推論缺口）。

這張表的 proven 只有對照列。真正該記的是對照列裡的「241 天」對上本案的「當天」——偵測的投資，省下的就是這段距離。

你可以學到什麼

站在攻擊者那一側看，遊戲公司是名單生意裡的高級貨。一般外洩名單只能證明「這個 email 存在」，遊戲玩家名單多證明了三件事：這個人有閒暇時間、有付費習慣、對特定遊戲有情感投入。冒充客服說「您的帳號有異常儲值，點此退費」，或者用「老玩家回歸禮包」談代儲折扣，命中的都是名單上現成的欲望。姓名加電話加 email 三件齊，連簡訊、來電、信件三個管道都打通了。

跟我們的防暴筆記對照

對照 INC-2026-0915（「關機前套用更新」這支程式，跑了 17,613 分鐘）。那起事件裡，挖礦程式在我們的主機上安靜跑了 356 天，因為沒有人在看那台「沒事做」的機器；鈊象這次從侵入訊號出現到啟動應變是同一天。差距不在工具——連線日誌兩邊都有——在「有沒有人盯著異常」。356 天和 1 天之間，隔的不是預算，是有沒有人把「不明 IP」當成今天就要處理的事。

也對照上週的摩斯拆解：同樣是個資外洩，摩斯被客訴叫醒，通知靠官網宣導；鈊象自己偵測到，通知做到逐一點名。兩篇放在一起，就是「偵測能力」與「通知義務」這兩題的正反面教材。

lessons本案的 5 個教訓

01
重訊要讀兩份：第一份的功能是「當天說出事了」，補充說明才是調查結果；判讀的材料藏在兩份的差異裡。
02
「不明 IP 異常侵入」是偵測視角的句子：看得到來源不等於知道破口，事實發生日是偵測日，不是入侵日。
03
當天偵測、當天公告是本案最值得抄的部分；偵測不會讓事件不發生，但決定你是主動說明還是被動承認。
04
改善措施是用未來式寫的破口描述：公司承諾事後要加厚的那道牆，通常就是這次被穿過的那道。
05
「初步評估無重大影響」評估的是公司營運，不是當事人風險；讀到這句話的時候，調查通常才剛開始。

keywords重點學習：最需要學習的 10 個關鍵字10 個

01
補充說明（重大訊息）
本案的關鍵文件不是第一份重訊，是八天後這份；兩份的差異就是調查的產出。
02
dwell time
從入侵到被發現的距離，決定損失規模；本案這個數字仍是空白，但偵測到公告只花了一天。
03
橫向移動（Lateral Movement）
進到一台設備不是終點；公司點名要「降低橫向存取及滲透」，說明他們在擔心的正是這一段。
04
網路隔離／網路分段
第三方系統與核心系統之間的牆；本案改善措施的核心，也是反推破口位置的線索。
05
第三方系統（T1199 Trusted Relationship）
你防得住正門，防不住拿著鑰匙的側門；本案與上週摩斯案指向同一類風險。
06
個資法第 12 條
外洩要通知「當事人」——鈊象用 email 加簡訊逐一通知，跟官網公告是兩種層級的履行。
07
事實發生日
重訊填的是公司「偵測」的日子；入侵從哪天開始，是另一個沒人回答的問題。
08
委外鑑識（IR 團隊）
「拿走了什麼」要靠日誌與鑑識還原，不是猜；八天給出外洩範圍算是快的。
09
冒名客服詐騙
玩家名單外洩後最直接的變現路徑：退費、代儲、禮包，都是現成的話術。
10
玩家名單
比一般 email 名單值錢：它同時證明付費能力、情感投入與聯絡管道三件事。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

列出第三方系統清冊（只列，不改任何東西）
看到什麼代表什麼：金流、客服、分析、廣告後台、外包維運通道，每一列寫：能連到哪些內部系統、用什麼帳號、誰負責、上次檢視時間。列不出來的那幾條線，就是你的「橫向存取風險」。清冊取名「側門清單 X-52」，第三方多一條線就補一列。
在對外或整合主機上看現有連線（唯讀）
```
ss -tnp state established
```
看到什麼代表什麼：每一條說不出用途的 established 連線都要查到底是誰、連去哪。說不出用途的連線在平時就該是零。
查防火牆或雲端安全群組有沒有過寬的規則（唯讀）
```
gcloud compute firewall-rules list --format="table(name,sourceRanges.list(),allowed)"
```
看到什麼代表什麼：來源是 0.0.0.0/0 或內網 any-to-any 的規則，就是橫向移動的高速公路；每一條都該寫得出存在的理由。
查會員／玩家資料庫的帳號與來源（唯讀）
```
SELECT user, host FROM mysql.user;
```
看到什麼代表什麼：host 欄是 % 的帳號代表從任何地方都能連。個資表不該有這種帳號，尤其不該給第三方系統用。
檢查自家有沒有「我們不會做的事」頁面
看到什麼代表什麼：官網找不到一頁寫明「官方不會用簡訊要你退費、不會私訊談代儲」，就代表玩家中招時沒有地方可以查證——這是本週就能補的一頁。

回到那棟大樓

保全在第一天就看到了陌生人，這是本案最好的部分；櫃子裡的資料還是被翻走了，這是最壞的部分。第二次廣播把兩件事都說了，一戶一戶的電話也打了。

剩下沒說的是：那個人怎麼進來的、在裡面走了多遠、以及監視器拍到他之前，他已經進來幾次。這三個答案都在調查報告裡，而調查報告不會出現在公開資訊觀測站。對讀這篇的你來說，能帶走的是那張第三方系統清冊——陌生人不一定從大門進來，但一定會經過某一條你畫得出來的線。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 8 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

鈊象重大訊息玩家個資第三方系統橫向移動網路隔離

看完的心情

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

允許 AI 直接修正（每項修改前仍會先問我）

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

對應課程模組

M3 雲端層偵測 · M8 結業盤點（第三方系統清冊） · 想在自己的環境做一次同樣的盤點，從自我盤點開始。

← 上一份AI 工具已經從瀏覽器，跑進你的電腦裡了下一份 →被打穿的不是核心銀行系統，是沒人在看的那個對外小服務