捐款異動詐騙信：公益團體冒名與個資事件整理

2026 年 10 月到 11 月初，博幼與至善先後公告確認捐款人資料遭存取或外洩，勵馨公告捐款人個資疑似遭不當存取，蘋果慈善與陽光公告遭冒名寄送捐款異動信或簡訊，陽光的訊息裡還帶著捐款人姓名、電話和捐款金額。若署名恰是曾捐款的基金會，這類信比一般詐騙信多了一層讓人當真的理由。

五則公告的性質並不相同，確認、疑似與遭冒名的區分見下表，只憑一封信還不能證明哪一家的捐款名冊已經外流。資料查核至 2026 年 11 月 6 日 15:40（台北時間），以各機構官網公告為準。

各機構目前公開了什麼

機構	公告上的性質	發現與公告時間	線上捐款（11 月 6 日）	尚未公開
博幼	確認委外代管系統遭入侵，部分捐款人資料遭存取	10 月 10 日起有冒名信件，10 月 10 日緊急公告，13 日更新	10 月公告暫停，官網未見恢復公告	供應商、漏洞、完整欄位清單、人數、入侵期間
至善	確認個資外洩，部分資料遭非法取得，初步調查疑因新系統測試期間遭入侵，未發現銀行帳號與信用卡等金融資料外洩	11 月 5 日公告疑似遭冒名要求重設定期定額，6 日事件說明	本文未查	廠商、資料種類、人數、入侵期間
勵馨	捐款人個資疑似遭不當存取，範圍調查中，另附防詐提醒	內部資安檢視察覺，未註明日期，11 月 4 日公告	捐款頁顯示線上捐款含信用卡暫停，未註日期	受影響對象、欄位、是否報警
蘋果慈善	網站與電郵遭冒名，未提及資料外洩	10 月 12 日接獲反映，之後多次公告，11 月 3 日完整說明	未公告暫停	是否涉及資料外洩
陽光	冒名信件與簡訊含捐款人姓名、電話與金額，未說明資料來源	公告寫接獲通報，未註明日期，11 月 3 日公告，4 日更新	未公告暫停	資料來源、是否涉及系統入侵、人數

博幼 10 月 13 日的更新公告寫，會同外部資安專家與系統商盤查後，確認委外代管系統遭駭客入侵、部分捐款人資料遭存取，處置包括隔離系統、保全證據、暫停官網線上捐款，以及暫停 10 月 9 日起信用卡捐款的請款與 10 月份各管道的定期定額扣款，公告上的「超過 8 萬則」是警示簡訊則數，受影響人數未提及。報案日兩頁寫得不同，更新頁寫 10 月 10 日報案、11 日通報主管機關，緊急公告則兩者都寫 11 日，本文保留差異，入侵發生日未公開。

至善社會福利基金會 11 月 5 日的公告寫，接獲反映疑似有人冒用名義聯繫認養人，要求重新設定定期定額捐款。11 月 6 日的個人資料安全事件說明寫「近日發現個人資料外洩事件」，「經初步調查，本次事件疑因新系統測試期間遭外部不法人士入侵，導致部分資料遭非法取得」，已停止系統測試、隔離捐款人資料庫、向警方備案，並以電子郵件和簡訊通知捐款人。公告寫「並未發現銀行帳號及信用卡等金融資料外洩的情形」，也寫會持續追查，合作廠商只稱「系統合作廠商」，受影響人數與資料種類未公布，兩則公告也沒有寫明冒名聯繫與這次外洩的關係。

勵馨 11 月 4 日的公告只寫疑似，正在調查可能受影響的人與資料範圍，未提及委外系統，也未描述已收到的信件內容，公告沒寫暫停捐款，本文查證時官網捐款頁則顯示線上捐款（含信用卡）暫時停止服務。蘋果慈善 11 月 3 日的說明寫，10 月 12 日接獲反映有人假冒網站與電郵寄送捐款異動通知，同日向數位發展部與 165 通報，假網址 10 月 13 日下架，網站線上刷卡不留存卡號，卡號在收單銀行，另已到警局備案。10 月 15 日版未載這兩點，10 月 23 日版已載，11 月 6 日仍刊登防詐提醒，定調未變，仍是遭冒名。

陽光社會福利基金會 11 月 3 日的聲明寫，有人冒用該會名義寄發電子郵件或簡訊，內容含捐款人姓名、電話與捐款金額，該會已啟動防護機制並配合主管機關調查，公告沒有說明這些資料從哪裡取得，也沒有提到系統入侵。訊息帶著捐款資料，比單純冒名更值得追查來源，但從公告只能讀到這裡。

五則公告時間接近，公開資料未寫它們彼此相關，也未寫來自同一來源。

捐款資料一般會經過哪些系統

這一節只說明一般資料流程，不代表各家都發生外洩，也不能據此判定任何一案的資料來源。

線上捐款時，姓名、電話、email 進官網表單或捐款頁，卡號通常直接交給金流處理，實際存放位置仍要看各家設定。台灣公益團體自律聯盟的說明把一筆捐款經過的節點列為前端入口、CRM 或捐款管理系統、內部作業與 Excel、金流服務商與金融機構，卡號加密後交給金流商、不存於官網，機構端只留扣款結果與卡片末四碼。以下是本文的一般補充，不在該文列舉之內：紙本授權書另有收件與保存流程，寄送感謝信與電子報的平台、客服紀錄與備份也可能另存一份，各家流程不同，檔案匯出之後的使用情形，單靠主系統日誌通常追不到。

以上只是可能經過的地方，要說成某一案的來源，需有對得上的證據。博幼寫委外代管系統，至善寫新系統測試期間與系統合作廠商，兩家都未點名廠商，也都未附存取紀錄或入侵時間，本文依機構公告記載，陽光的冒名訊息含捐款資料，來源同樣沒有說明。博幼的緊急公告另提到詐騙者透過電子郵件與非官方 LINE 帳號聯繫捐款人，寄件名稱可以偽造，帳號也可能真的被登入，需比對郵件標頭、登入紀錄和外寄日誌才能區分，公告未附這些資料。只收到一封信分不出是精準名冊還是巧合，要看寄了多少、打中多少，以及信裡有沒有公開資料拼不出來的欄位。

共用供應商同時牽動多家團體，2021 年有過先例，至善 2021 年的聲明寫事件源於資料庫廠商資料外洩，同年 9 月更新為該廠商系統被駭、數十家公益團體集體受害。那是五年前另一次事件，本文不把它和 2026 年任何一件相連，包括至善自己這一件。

收到信後的處理，依已做到的步驟區分

信裡寫對了金額或卡片末四碼，不代表卡片資料已經外流。末四碼不等於完整卡號、到期日、CVV 或網銀帳號密碼，五家公告都沒有把末四碼列為已遭存取的欄位，至善另寫未發現金融資料外洩，收到信本身也不能證明卡片資料遭竊。博幼則另外建議，曾在該會刷卡捐款的人留意異常刷卡紀錄，或聯絡發卡銀行停用換卡，要不要停卡，可以請發卡銀行一起評估。

聯絡方式應從官網查得，不使用信中的電話、連結或 LINE，博幼公告上的電話是 049-2915055，至善是 02-2388-9118，勵馨是 02-8911-8595，陽光是 02-2507-8006，蘋果慈善請至官網查詢。

只收到信：留在收件匣，不點連結、不回信，原信連同寄件位址和時間保留，這還不能當成電腦已經中毒。

點過連結：不要再開啟那個頁面，確認是否曾下載、執行檔案或安裝軟體，尚未開啟的檔案不要執行，已經執行或安裝的，用可信的防毒軟體掃描，必要時找人協助。

輸入過帳號密碼：立刻更換那組密碼，其他網站用同一組的一併更換，能開兩步驟驗證就開啟，優先處理用同一組密碼的 email 帳號。

交出過金融資料：信用卡資料，包括完整卡號、安全碼或簡訊驗證碼，立即聯絡發卡銀行；網銀帳密或帳戶交易驗證碼，立即聯絡該帳戶的銀行；兩種情況都撥 165。對方要求到 ATM 解除扣款或解除分期付款則不要照做，五家公告均寫明不會要求操作 ATM 或網路銀行。

已經轉帳：保留轉帳紀錄、對話和原信，立刻聯絡銀行與 165，到警局報案，款項能否追回由銀行和警方處理，無法保證。

公益團體可以先做的事

公益團體可以先盤點捐款資料經過的系統、委外合約和能登入的帳號，事件發生時才能確定向誰調取日誌，個資法施行細則第 8 條也要求委託機關監督受託者，定期確認執行情形並記錄結果。法令要求的資料留下，其餘少複製，帳號只開給正在做這件事的人，遠端登入加上多因素驗證，讀取名冊要留紀錄。

通知要寫明對象、是疑似還是已確認，以及印在官網上的查證電話。現行個資法第 12 條規定，違法致個資被竊取、洩漏等情形，查明後以適當方式通知當事人；2025 年 11 月 11 日修正公布的第 12 條調整了通知與通報義務，施行日期由行政院定之，查證日全國法規資料庫仍標示未定。

還沒有答案的問題

表格「尚未公開」欄的項目，涉及哪一套系統、哪些欄位和期間，存取紀錄與鑑識確認了什麼，通知了哪些人，都要等機構、委外廠商或調查單位公開。本文查證時，在 165、警政署、刑事局、數位發展部、衛福部與個資會籌備處可讀到的公開頁面，未見就這幾起事件發布的調查結果、跨案關聯說明或廠商點名，這不代表沒有通報或調查。

補充筆記

博幼寫確認委外代管系統遭入侵，至善寫確認個資外洩、初步調查疑因新系統測試期間遭入侵且未發現金融資料外洩，勵馨寫疑似遭不當存取，蘋果慈善寫遭冒名，陽光寫冒名訊息含捐款人資料但未說明來源，五則公告沒有寫彼此相關。
博幼與至善都未點名廠商，本文也不點名，2021 年至善的案例只說明共用供應商風險有過先例，和 2026 年任何一件無關。
捐款資料一般會經過表單、金流、CRM 與 Excel，也可能另經寄信平台、客服與備份，這是一般描述，不是對任何一案資料來源的認定。
收到信本身不能證明卡片資料遭竊，要不要停卡可請發卡銀行評估，博幼另建議該會刷卡捐款人考慮停卡換卡，交出卡片資料找發卡銀行，交出網銀資料找該帳戶的銀行，兩種都撥 165，聯絡方式從官網查得。
現行個資法第 12 條要求違法致個資外洩時查明後通知當事人，2025 年修正條文施行日期由行政院定之，查證日仍未定。