# 出事之後，你從哪裡知道自己被波及：四起事件的揭露路徑

> Zeabur、Railway、91APP 與歐洲冷鏈四起事件，開口的人各不相同。跨國使用者手上的影響範圍來自別人的揭露，誰先說、用什麼單位說，決定下游能做什麼判斷。

原文：https://sheng.page/posts/disclosure-paths-across-borders/ · 發布：2026-11-06 · 作者：Sheng

10 月到 11 月初有四起事件：Zeabur 的管理憑證外洩、Railway 的 build 基礎設施遭入侵、在台灣上櫃的電商 SaaS 91APP 訂單資料庫被存取，還有歐洲多國超市的冷鏈控制器被攻擊，沒有來源指出四起有共同的攻擊者。

我想看的是下游怎麼知道自己被波及：出事時，手上的影響範圍幾乎都來自別人的揭露，能做什麼判斷，看誰先開口、用什麼單位講。這是我的歸納，各家公告沒有這樣說。資料查核至 2026-11-06（台北時間）。

## 誰先開口

Zeabur 是自己開口，10 月 19 日的初報附上時間線與數字，根因寫得直接：長效的管理憑證明文存著，從公網也能用。攻擊者 10 月 14 日 01:40（UTC）第一次用上那把 admin token，Zeabur 到 10 月 15 日 13:56 才因用戶回報開始調查。憑證怎麼外洩，報告說還無法確認。

Railway 也是自己開口，報告標明是初步，事件從 10 月 20 日 13:58 持續到 22 日 03:32（UTC），監控先因延遲升高通知值班工程師，調查後發現 build 基礎設施裡的提權嘗試。攻擊者先拉走加密的 secret，再拿到能解密 artifact 的 CI 憑證，最初怎麼進來，初報沒說。

91APP 公布的時間線裡，最早的外部警訊來自客戶：攻擊 10 月 3 日 11:00（台灣時間）開始，隔天就有客戶回報消費者收到詐騙訊息，7 日又有五個品牌回報。91APP 在 8 日成立應變小組，14 日確認入口並在 23:00 阻斷，15 日依個資法向數位發展部通報並告知客戶。主管機關也開了口：數位產業署 10 月 19 日起會同資安院進場行政檢查，20 日的新聞稿說「部分資料確實遭未經授權擷取」，受影響人數仍在調查，違規將依法處理。入口是沒修補的內部工具 Appsmith，攻擊者從 GitLab 拿到資料庫金鑰，再進訂單資料庫。董事長何英圻說，8 日成立小組時就該通知品牌。11 月 2 日起用 email 和簡訊通知消費者，通知和處理費用 91APP 出。

冷鏈這邊，我查到最早的公開文件是法國 CERT-FR 10 月 12 日的警報，點名 Danfoss AK-SC、AK-SM 與 Copeland、Dixell 的 xweb 遠端控制器，說已知許多起入侵，管理介面不該暴露在網際網路上。德國 BSI 的公告 10 月 13 日發布、11 月 3 日更新，說可從網際網路連到的冷藏控制系統遭未授權的第三方操控，部分案例得銷毀食品，德國的供應安全沒有受到威脅。瑞典 CERT-SE 11 月 2 日則說正與受影響的零售業者聯繫，三份公告都沒有點名攻擊者。Reuters 11 月 3 日報導，11 月 2 日的第二波打到歐洲八國的門市，同篇引英國 NCSC 的 Richard Horne，說這是日後干擾會更頻繁的早期徵兆。

## 範圍用什麼單位說

四起事件給範圍的單位都不一樣。Zeabur 給絕對數：3,218,965 筆環境變數、321,810 個帳號、101 台 GCP Dedicated Server 被登入，客戶連 8 月之後換過的 secret 也得再換一次，因為 8 月的輪換沒涵蓋那把 token。10 月 28 日的後續公告說，Zeabur 無法支付事件衍生的第三方服務費用，會協助用戶向供應商申請減免，並在 12 月 31 日停止營運。Railway 給百分比：「at most 1.85% of all workspaces had some environment variables potentially compromised」，也就是最多 1.85%、約 10 萬個 workspace 的部分環境變數可能外洩。初報 10 月 26 日更新為既有用戶的事件已解決，11 月 2 日重開註冊，1.85% 沒有改，也還沒有最終報告。

91APP 給上限：最多 1,329 個品牌、4,798,255 名消費者，範圍是 2025 年 4 月 4 日到 2026 年 10 月 14 日之間的線上訂單，91APP 說因為無法判定具體涉及哪些訂單，依最大可能影響範圍認定。可能被存取的是姓名、電話、收件地址、email（如有填寫）與訂單紀錄，不含密碼和付款資料，報告寫部分資料遭竊，沒說是哪些。

冷鏈只有「de nombreuses compromissions」（許多起入侵）和門市數，法國更早那一波打到 80 家 Carrefour 加盟店，11 月 2 日第二波則有比利時 15 家 Carrefour、瑞典 ICA 23 家，門市丟掉大量食品。

這些數字都說不出你在不在裡面：絕對數和百分比給的是規模，上限要你先假設自己在內，「許多起」只能照 CERT 的建議全面檢查。

## 同一個工具的痕跡

ARTEX 是開源的 AI 滲透測試框架，10 月中起多方陸續公開提到它。韓國資安公司 Theori 的白皮書（DigitalToday 10 月 15 日報導）說，9 月下旬起韓國金融機構的入侵案中發現它的痕跡，沒有歸因。日本 GMO Ierae 10 月 19 日確認，一套使用 ARTEX 的攻擊基礎設施鎖定約 20 家日本企業，其中 8 家已公告外洩，判斷是同一個未具名的攻擊團體。91APP 的 25 天報告說自己系統裡也有 ARTEX 痕跡，並稱工具鏈與韓日那一波相同。

另一邊，Microsoft 10 月 21 日說，它形容為 China-state aligned（與中國國家利益一致）的 Storm-0940 用 ARTEX 自動化攻擊全球數百個組織，CrowdStrike 10 月 29 日另外列出與中國有關聯的 VAPOR PANDA，10 月 17 日起打了至少 14 國、200 多個組織。兩份報告都沒有點名台灣，Microsoft 提到韓國金融機構的案子時也沒有歸給 Storm-0940。工具是公開的，誰在別處用過它、誰打了 91APP，目前沒有任何來源連起來。

## 寫完之後

整理這四起，我最在意的是範圍：每份公告都給了數字或一個詞，卻沒有一個能回答我在不在裡面，只能先假設自己在裡面。資料是在供應商那邊被讀走的，我自己的 log 也排除不了。

另一件是時間：91APP 公布的時間線上，最早的外部訊號是 10 月 4 日的客戶回報，Zeabur 也是接到用戶回報才開始調查。換成我是那個平台，會先想知道自己的監控能不能比客戶早一步看到。

## 補充筆記

- 四起事件的揭露者不同：Zeabur 與 Railway 自己發報告，Railway 標明是初步，91APP 依個資法通報，冷鏈由法國 CERT-FR 發警報。
- 範圍的單位也不同：Zeabur 給絕對數，Railway 給百分比，91APP 給上限，CERT-FR 只說許多起。
- 91APP 時間線上最早的外部訊號是 10 月 4 日客戶回報詐騙訊息，通報主管機關在 10 月 15 日。
- 91APP 的 4,798,255 名消費者是上限，Railway 的 1.85% 是初報數字。
- Microsoft 與 CrowdStrike 各自歸因了特定的 ARTEX 行動，但沒有來源把 91APP 或韓國的案子連到 Storm-0940 或 VAPOR PANDA，冷鏈攻擊也沒有任何政府或廠商歸因。
- Zeabur 與 Railway 都還沒有最終報告，91APP 的數字沒有修訂。

## 延伸閱讀

- [Zeabur 2026 年 10 月資安事件初報](https://zeabur.com/blogs/october-2026-security-incident/)：10 月 19 日的初步報告，含時間線、外洩數字與官方的根因說明，入口仍未確認。
- [Railway 10 月資安事件初報](https://blog.railway.com/p/preliminary-report-october-security-incident)：時間線、1.85% 的範圍與動機判斷，明寫是初步報告，10 月 26 日更新。
- [91APP 18 天調查報告](https://91app.com/blog/91app-202610-security-incident/)：10 月 22 日，入侵時間線、入口與攻擊路徑，以及通報主管機關的日期。
- [91APP 25 天調查報告](https://91app.com/blog/91app-202610-security-incident-2/)：10 月 29 日，影響範圍上限、可能被存取的欄位與補償方式。
- [Theori 的 ARTEX 白皮書（DigitalToday 報導）](https://www.digitaltoday.co.kr/en/view/115187/theori-releases-in-depth-analysis-white-paper-on-ai-hacking-tool-artex)：10 月 15 日，韓國金融機構入侵案中的 ARTEX 痕跡，沒有歸因。
- [數位產業署 10 月 20 日新聞稿](https://moda.gov.tw/ADI/news/latest-news/21118)：對 91APP 啟動行政檢查，受影響人數仍待確認。
- [Zeabur 10 月 28 日後續公告](https://zeabur.com/blogs/october-2026-security-incident-follow-up)：無法支付事件衍生的第三方費用，12 月 31 日停止營運。
- [GMO Ierae 2026 年 10 月 19 日報告（日文）](https://gmo-cybersecurity.com/blog/20261019/)：約 20 家日本企業被使用 ARTEX 的攻擊基礎設施鎖定，未點名攻擊者。
- [Microsoft：Storm-0940 使用 ARTEX](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/)：10 月 21 日，Microsoft 形容為 China-state aligned 的行為者用 ARTEX 攻擊全球數百個組織，沒有點名台灣。
- [CrowdStrike：VAPOR PANDA 使用 ARTEX](https://www.crowdstrike.com/en-us/blog/vapor-panda-uses-artex-to-scale-global-campaign/)：10 月 29 日，另一個與中國有關聯的行動，和 Storm-0940 分開。
- [CERT-FR CERTFR-2026-ALE-012](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/)：法國政府資安單位對冷凍設備遠端控制器的警報與建議。
- [德國 BSI 新聞稿（德文）](https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)：10 月 13 日發布、11 月 3 日更新，冷藏控制系統遭操控，沒有點名攻擊者。
- [瑞典 CERT-SE 公告（瑞典文）](https://www.cert.se/2026/11/cyberangrepp-mot-uppkopplade-frys-och-kylsystem.html)：11 月 2 日，與受影響的零售業者聯繫，沒有技術細節。
- [Reuters 2026 年 11 月 3 日報導（Investing.com 轉載）](https://www.investing.com/news/stock-market-news/european-supermarkets-rush-to-patch-vulnerabilities-after-regionwide-fridge-hack-4995896)：第二波冷鏈攻擊的受影響國家與零售商，以及英國 NCSC 的說法，沒有歸因。

> 想法與技術判斷出自 Sheng，和 Claude 一起起草 · Claude Fable 主導大綱與取捨，Claude（Opus 5.5）撰寫，Codex（gpt-6-astra）二審，Grok 調查與調語氣；資料查核至 2026-11-06（台北時間）