# 捐款異動詐騙信：公益團體冒名與個資事件整理 > 2026 年 10 到 11 月博幼、至善、勵馨、蘋果慈善、陽光五家基金會先後發布防詐與資料安全公告，本文依公告區分確認、疑似與遭冒名，說明捐款資料一般經過哪些系統，以及收到信後依步驟的處理方式。 原文：https://sheng.page/posts/charity-donation-fraud-emails-and-data-incidents/ · 發布：2026-11-06 · 作者：Sheng 2026 年 10 月到 11 月初，博幼與至善先後公告確認捐款人資料遭存取或外洩，勵馨公告捐款人個資疑似遭不當存取，蘋果慈善與陽光公告遭冒名寄送捐款異動信或簡訊，陽光的訊息裡還帶著捐款人姓名、電話和捐款金額。若署名恰是曾捐款的基金會，這類信比一般詐騙信多了一層讓人當真的理由。 五則公告的性質並不相同，確認、疑似與遭冒名的區分見下表，只憑一封信還不能證明哪一家的捐款名冊已經外流。資料查核至 2026 年 11 月 6 日 15:40（台北時間），以各機構官網公告為準。 ## 各機構目前公開了什麼 | 機構 | 公告上的性質 | 發現與公告時間 | 線上捐款（11 月 6 日） | 尚未公開 | | --- | --- | --- | --- | --- | | 博幼 | 確認委外代管系統遭入侵，部分捐款人資料遭存取 | 10 月 10 日起有冒名信件，10 月 10 日緊急公告，13 日更新 | 10 月公告暫停，官網未見恢復公告 | 供應商、漏洞、完整欄位清單、人數、入侵期間 | | 至善 | 確認個資外洩，部分資料遭非法取得，初步調查疑因新系統測試期間遭入侵，未發現銀行帳號與信用卡等金融資料外洩 | 11 月 5 日公告疑似遭冒名要求重設定期定額，6 日事件說明 | 本文未查 | 廠商、資料種類、人數、入侵期間 | | 勵馨 | 捐款人個資疑似遭不當存取，範圍調查中，另附防詐提醒 | 內部資安檢視察覺，未註明日期，11 月 4 日公告 | 捐款頁顯示線上捐款含信用卡暫停，未註日期 | 受影響對象、欄位、是否報警 | | 蘋果慈善 | 網站與電郵遭冒名，未提及資料外洩 | 10 月 12 日接獲反映，之後多次公告，11 月 3 日完整說明 | 未公告暫停 | 是否涉及資料外洩 | | 陽光 | 冒名信件與簡訊含捐款人姓名、電話與金額，未說明資料來源 | 公告寫接獲通報，未註明日期，11 月 3 日公告，4 日更新 | 未公告暫停 | 資料來源、是否涉及系統入侵、人數 | 博幼 10 月 13 日的[更新公告](https://www.boyo.org.tw/boyoV2/boyo_news/%E3%80%90%E9%87%8D%E8%A6%81%E9%98%B2%E8%A9%90%E6%87%89%E5%B0%8D%E5%85%AC%E5%91%8A%E3%80%91%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E8%AA%AA%E6%98%8E%E8%88%87%E9%98%B2%E8%A9%90%E6%8F%90%E9%86%92)寫，會同外部資安專家與系統商盤查後，確認委外代管系統遭駭客入侵、部分捐款人資料遭存取，處置包括隔離系統、保全證據、暫停官網線上捐款，以及暫停 10 月 9 日起信用卡捐款的請款與 10 月份各管道的定期定額扣款，公告上的「超過 8 萬則」是警示簡訊則數，受影響人數未提及。報案日兩頁寫得不同，更新頁寫 10 月 10 日報案、11 日通報主管機關，[緊急公告](https://www.boyo.org.tw/boyoV2/boyo_news/%E3%80%90%E7%B7%8A%E6%80%A5%E5%85%AC%E5%91%8A%E3%80%91%E5%B0%8F%E5%BF%83%E8%A9%90%E9%A8%99)則兩者都寫 11 日，本文保留差異，入侵發生日未公開。 至善社會福利基金會 11 月 5 日的[公告](https://www.zhi-shan.org/article/12/3688)寫，接獲反映疑似有人冒用名義聯繫認養人，要求重新設定定期定額捐款。11 月 6 日的[個人資料安全事件說明](https://www.zhi-shan.org/article/12/3689)寫「近日發現個人資料外洩事件」，「經初步調查，本次事件疑因新系統測試期間遭外部不法人士入侵，導致部分資料遭非法取得」，已停止系統測試、隔離捐款人資料庫、向警方備案，並以電子郵件和簡訊通知捐款人。公告寫「並未發現銀行帳號及信用卡等金融資料外洩的情形」，也寫會持續追查，合作廠商只稱「系統合作廠商」，受影響人數與資料種類未公布，兩則公告也沒有寫明冒名聯繫與這次外洩的關係。 勵馨 11 月 4 日的[公告](https://www.goh.org.tw/latest-news/anti-fraud-261104/)只寫疑似，正在調查可能受影響的人與資料範圍，未提及委外系統，也未描述已收到的信件內容，公告沒寫暫停捐款，本文查證時官網[捐款頁](https://www.goh.org.tw/donate/)則顯示線上捐款（含信用卡）暫時停止服務。蘋果慈善 11 月 3 日的[說明](https://www.apcharity.org.tw/article/732907)寫，10 月 12 日接獲反映有人假冒網站與電郵寄送捐款異動通知，同日向數位發展部與 165 通報，假網址 10 月 13 日下架，網站線上刷卡不留存卡號，卡號在收單銀行，另已到警局備案。10 月 15 日版未載這兩點，10 月 23 日版已載，11 月 6 日仍刊登防詐提醒，定調未變，仍是遭冒名。 陽光社會福利基金會 11 月 3 日的[聲明](https://www.sunshine.org.tw/news/announce/news20261103)寫，有人冒用該會名義寄發電子郵件或簡訊，內容含捐款人姓名、電話與捐款金額，該會已啟動防護機制並配合主管機關調查，公告沒有說明這些資料從哪裡取得，也沒有提到系統入侵。訊息帶著捐款資料，比單純冒名更值得追查來源，但從公告只能讀到這裡。 五則公告時間接近，公開資料未寫它們彼此相關，也未寫來自同一來源。 ## 捐款資料一般會經過哪些系統 這一節只說明一般資料流程，不代表各家都發生外洩，也不能據此判定任何一案的資料來源。 線上捐款時，姓名、電話、email 進官網表單或捐款頁，卡號通常直接交給金流處理，實際存放位置仍要看各家設定。台灣公益團體自律聯盟的[說明](https://www.twnpos.org.tw/news/3FU5FRDRKdeGei9bEmKtOY83Eij)把一筆捐款經過的節點列為前端入口、CRM 或捐款管理系統、內部作業與 Excel、金流服務商與金融機構，卡號加密後交給金流商、不存於官網，機構端只留扣款結果與卡片末四碼。以下是本文的一般補充，不在該文列舉之內：紙本授權書另有收件與保存流程，寄送感謝信與電子報的平台、客服紀錄與備份也可能另存一份，各家流程不同，檔案匯出之後的使用情形，單靠主系統日誌通常追不到。 以上只是可能經過的地方，要說成某一案的來源，需有對得上的證據。博幼寫委外代管系統，至善寫新系統測試期間與系統合作廠商，兩家都未點名廠商，也都未附存取紀錄或入侵時間，本文依機構公告記載，陽光的冒名訊息含捐款資料，來源同樣沒有說明。博幼的緊急公告另提到詐騙者透過電子郵件與非官方 LINE 帳號聯繫捐款人，寄件名稱可以偽造，帳號也可能真的被登入，需比對郵件標頭、登入紀錄和外寄日誌才能區分，公告未附這些資料。只收到一封信分不出是精準名冊還是巧合，要看寄了多少、打中多少，以及信裡有沒有公開資料拼不出來的欄位。 共用供應商同時牽動多家團體，2021 年有過先例，至善 2021 年的[聲明](https://www.zhi-shan.org/article/12/2878)寫事件源於資料庫廠商資料外洩，同年 9 月更新為該廠商系統被駭、數十家公益團體集體受害。那是五年前另一次事件，本文不把它和 2026 年任何一件相連，包括至善自己這一件。 ## 收到信後的處理，依已做到的步驟區分 信裡寫對了金額或卡片末四碼，不代表卡片資料已經外流。末四碼不等於完整卡號、到期日、CVV 或網銀帳號密碼，五家公告都沒有把末四碼列為已遭存取的欄位，至善另寫未發現金融資料外洩，收到信本身也不能證明卡片資料遭竊。博幼則另外建議，曾在該會刷卡捐款的人留意異常刷卡紀錄，或聯絡發卡銀行停用換卡，要不要停卡，可以請發卡銀行一起評估。 聯絡方式應從官網查得，不使用信中的電話、連結或 LINE，博幼公告上的電話是 049-2915055，至善是 02-2388-9118，勵馨是 02-8911-8595，陽光是 02-2507-8006，蘋果慈善請至[官網](https://www.apcharity.org.tw/)查詢。 只收到信：留在收件匣，不點連結、不回信，原信連同寄件位址和時間保留，這還不能當成電腦已經中毒。 點過連結：不要再開啟那個頁面，確認是否曾下載、執行檔案或安裝軟體，尚未開啟的檔案不要執行，已經執行或安裝的，用可信的防毒軟體掃描，必要時找人協助。 輸入過帳號密碼：立刻更換那組密碼，其他網站用同一組的一併更換，能開兩步驟驗證就開啟，優先處理用同一組密碼的 email 帳號。 交出過金融資料：信用卡資料，包括完整卡號、安全碼或簡訊驗證碼，立即聯絡發卡銀行；網銀帳密或帳戶交易驗證碼，立即聯絡該帳戶的銀行；兩種情況都撥 165。對方要求到 ATM 解除扣款或解除分期付款則不要照做，五家公告均寫明不會要求操作 ATM 或網路銀行。 已經轉帳：保留轉帳紀錄、對話和原信，立刻聯絡銀行與 165，到警局報案，款項能否追回由銀行和警方處理，無法保證。 ## 公益團體可以先做的事 公益團體可以先盤點捐款資料經過的系統、委外合約和能登入的帳號，事件發生時才能確定向誰調取日誌，個資法[施行細則第 8 條](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050022&flno=8)也要求委託機關監督受託者，定期確認執行情形並記錄結果。法令要求的資料留下，其餘少複製，帳號只開給正在做這件事的人，遠端登入加上多因素驗證，讀取名冊要留紀錄。 通知要寫明對象、是疑似還是已確認，以及印在官網上的查證電話。現行[個資法第 12 條](https://law.moj.gov.tw/LawClass/LawOldVer.aspx?pcode=I0050021)規定，違法致個資被竊取、洩漏等情形，查明後以適當方式通知當事人；2025 年 11 月 11 日修正公布的[第 12 條](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=12)調整了通知與通報義務，施行日期由行政院定之，查證日全國法規資料庫仍標示未定。 ## 還沒有答案的問題 表格「尚未公開」欄的項目，涉及哪一套系統、哪些欄位和期間，存取紀錄與鑑識確認了什麼，通知了哪些人，都要等機構、委外廠商或調查單位公開。本文查證時，在 165、警政署、刑事局、數位發展部、衛福部與個資會籌備處可讀到的公開頁面，未見就這幾起事件發布的調查結果、跨案關聯說明或廠商點名，這不代表沒有通報或調查。 ## 補充筆記 - 博幼寫確認委外代管系統遭入侵，至善寫確認個資外洩、初步調查疑因新系統測試期間遭入侵且未發現金融資料外洩，勵馨寫疑似遭不當存取，蘋果慈善寫遭冒名，陽光寫冒名訊息含捐款人資料但未說明來源，五則公告沒有寫彼此相關。 - 博幼與至善都未點名廠商，本文也不點名，2021 年至善的案例只說明共用供應商風險有過先例，和 2026 年任何一件無關。 - 捐款資料一般會經過表單、金流、CRM 與 Excel，也可能另經寄信平台、客服與備份，這是一般描述，不是對任何一案資料來源的認定。 - 收到信本身不能證明卡片資料遭竊，要不要停卡可請發卡銀行評估，博幼另建議該會刷卡捐款人考慮停卡換卡，交出卡片資料找發卡銀行，交出網銀資料找該帳戶的銀行，兩種都撥 165，聯絡方式從官網查得。 - 現行個資法第 12 條要求違法致個資外洩時查明後通知當事人，2025 年修正條文施行日期由行政院定之，查證日仍未定。 ## 延伸閱讀 - [【重要防詐應對公告】資安事件說明與防詐提醒](https://www.boyo.org.tw/boyoV2/boyo_news/%E3%80%90%E9%87%8D%E8%A6%81%E9%98%B2%E8%A9%90%E6%87%89%E5%B0%8D%E5%85%AC%E5%91%8A%E3%80%91%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E8%AA%AA%E6%98%8E%E8%88%87%E9%98%B2%E8%A9%90%E6%8F%90%E9%86%92)，博幼基金會，2026-10-13 更新。 - [【緊急公告】小心詐騙](https://www.boyo.org.tw/boyoV2/boyo_news/%E3%80%90%E7%B7%8A%E6%80%A5%E5%85%AC%E5%91%8A%E3%80%91%E5%B0%8F%E5%BF%83%E8%A9%90%E9%A8%99)，博幼基金會，2026-10-10。 - [【個人資料安全事件說明】](https://www.zhi-shan.org/article/12/3689)，至善社會福利基金會，2026-11-06；同會 [11 月 5 日防詐提醒](https://www.zhi-shan.org/article/12/3688)。 - [【重要公告】捐款人個人資料安全事件說明與防詐提醒](https://www.goh.org.tw/latest-news/anti-fraud-261104/)，勵馨基金會，2026-11-04。 - [蘋果慈善基金會防詐重要提醒說明（11 月 3 日）](https://www.apcharity.org.tw/article/732907)，蘋果慈善基金會，2026-11-03；較早的 [10 月 14 日版](https://www.apcharity.org.tw/article/732857)與 [10 月 15 日版](https://www.apcharity.org.tw/article/732858)以「疑似」開頭，[10 月 23 日版](https://www.apcharity.org.tw/article/732874)起載有警局備案與卡號說明。 - [【重要防詐騙聲明與緊急警示通知】](https://www.sunshine.org.tw/news/announce/news20261103)，陽光社會福利基金會，2026-11-03 發布、11-04 更新。 - [【公告】至善基金會反詐騙聲明](https://www.zhi-shan.org/article/12/2878)，至善社會福利基金會，2021 年事件，頁面日期 2021-08-11、同頁含 2021-09-16 更新，2026 年公告未提及。 - [當合作共融遇上數位暗箭：為何我們需要專屬 NPO 的資安指南？](https://www.twnpos.org.tw/news/3FU5FRDRKdeGei9bEmKtOY83Eij)，台灣公益團體自律聯盟，捐款資料節點的一般說明，刊登日期本文未能核實。 - [個人資料保護法施行細則第 8 條](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050022&flno=8)，全國法規資料庫，委託監督。 - [個人資料保護法第 12 條（現行）](https://law.moj.gov.tw/LawClass/LawOldVer.aspx?pcode=I0050021)與[修正條文](https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=I0050021&flno=12)，全國法規資料庫，修正條文施行日期由行政院定之，尚未公布。 > 想法與技術判斷出自 Sheng，和 Claude 一起起草 · Claude Fable 主持結構，Grok 研究與補讀，Codex（gpt-6-astra）與 Claude 覆核；資料查核至 2026-11-06 15:40。