出事之後，你從哪裡知道自己被波及：四起事件的揭露路徑

10 月到 11 月初有四起事件：Zeabur 的管理憑證外洩、Railway 的 build 基礎設施遭入侵、在台灣上櫃的電商 SaaS 91APP 訂單資料庫被存取，還有歐洲多國超市的冷鏈控制器被攻擊，沒有來源指出四起有共同的攻擊者。

我想看的是下游怎麼知道自己被波及：出事時，手上的影響範圍幾乎都來自別人的揭露，能做什麼判斷，看誰先開口、用什麼單位講。這是我的歸納，各家公告沒有這樣說。資料查核至 2026-11-06（台北時間）。

誰先開口

Zeabur 是自己開口，10 月 19 日的初報附上時間線與數字，根因寫得直接：長效的管理憑證明文存著，從公網也能用。攻擊者 10 月 14 日 01:40（UTC）第一次用上那把 admin token，Zeabur 到 10 月 15 日 13:56 才因用戶回報開始調查。憑證怎麼外洩，報告說還無法確認。

Railway 也是自己開口，報告標明是初步，事件從 10 月 20 日 13:58 持續到 22 日 03:32（UTC），監控先因延遲升高通知值班工程師，調查後發現 build 基礎設施裡的提權嘗試。攻擊者先拉走加密的 secret，再拿到能解密 artifact 的 CI 憑證，最初怎麼進來，初報沒說。

91APP 公布的時間線裡，最早的外部警訊來自客戶：攻擊 10 月 3 日 11:00（台灣時間）開始，隔天就有客戶回報消費者收到詐騙訊息，7 日又有五個品牌回報。91APP 在 8 日成立應變小組，14 日確認入口並在 23:00 阻斷，15 日依個資法向數位發展部通報並告知客戶。主管機關也開了口：數位產業署 10 月 19 日起會同資安院進場行政檢查，20 日的新聞稿說「部分資料確實遭未經授權擷取」，受影響人數仍在調查，違規將依法處理。入口是沒修補的內部工具 Appsmith，攻擊者從 GitLab 拿到資料庫金鑰，再進訂單資料庫。董事長何英圻說，8 日成立小組時就該通知品牌。11 月 2 日起用 email 和簡訊通知消費者，通知和處理費用 91APP 出。

冷鏈這邊，我查到最早的公開文件是法國 CERT-FR 10 月 12 日的警報，點名 Danfoss AK-SC、AK-SM 與 Copeland、Dixell 的 xweb 遠端控制器，說已知許多起入侵，管理介面不該暴露在網際網路上。德國 BSI 的公告 10 月 13 日發布、11 月 3 日更新，說可從網際網路連到的冷藏控制系統遭未授權的第三方操控，部分案例得銷毀食品，德國的供應安全沒有受到威脅。瑞典 CERT-SE 11 月 2 日則說正與受影響的零售業者聯繫，三份公告都沒有點名攻擊者。Reuters 11 月 3 日報導，11 月 2 日的第二波打到歐洲八國的門市，同篇引英國 NCSC 的 Richard Horne，說這是日後干擾會更頻繁的早期徵兆。

範圍用什麼單位說

四起事件給範圍的單位都不一樣。Zeabur 給絕對數：3,218,965 筆環境變數、321,810 個帳號、101 台 GCP Dedicated Server 被登入，客戶連 8 月之後換過的 secret 也得再換一次，因為 8 月的輪換沒涵蓋那把 token。10 月 28 日的後續公告說，Zeabur 無法支付事件衍生的第三方服務費用，會協助用戶向供應商申請減免，並在 12 月 31 日停止營運。Railway 給百分比：「at most 1.85% of all workspaces had some environment variables potentially compromised」，也就是最多 1.85%、約 10 萬個 workspace 的部分環境變數可能外洩。初報 10 月 26 日更新為既有用戶的事件已解決，11 月 2 日重開註冊，1.85% 沒有改，也還沒有最終報告。

91APP 給上限：最多 1,329 個品牌、4,798,255 名消費者，範圍是 2025 年 4 月 4 日到 2026 年 10 月 14 日之間的線上訂單，91APP 說因為無法判定具體涉及哪些訂單，依最大可能影響範圍認定。可能被存取的是姓名、電話、收件地址、email（如有填寫）與訂單紀錄，不含密碼和付款資料，報告寫部分資料遭竊，沒說是哪些。

冷鏈只有「de nombreuses compromissions」（許多起入侵）和門市數，法國更早那一波打到 80 家 Carrefour 加盟店，11 月 2 日第二波則有比利時 15 家 Carrefour、瑞典 ICA 23 家，門市丟掉大量食品。

這些數字都說不出你在不在裡面：絕對數和百分比給的是規模，上限要你先假設自己在內，「許多起」只能照 CERT 的建議全面檢查。

同一個工具的痕跡

ARTEX 是開源的 AI 滲透測試框架，10 月中起多方陸續公開提到它。韓國資安公司 Theori 的白皮書（DigitalToday 10 月 15 日報導）說，9 月下旬起韓國金融機構的入侵案中發現它的痕跡，沒有歸因。日本 GMO Ierae 10 月 19 日確認，一套使用 ARTEX 的攻擊基礎設施鎖定約 20 家日本企業，其中 8 家已公告外洩，判斷是同一個未具名的攻擊團體。91APP 的 25 天報告說自己系統裡也有 ARTEX 痕跡，並稱工具鏈與韓日那一波相同。

另一邊，Microsoft 10 月 21 日說，它形容為 China-state aligned（與中國國家利益一致）的 Storm-0940 用 ARTEX 自動化攻擊全球數百個組織，CrowdStrike 10 月 29 日另外列出與中國有關聯的 VAPOR PANDA，10 月 17 日起打了至少 14 國、200 多個組織。兩份報告都沒有點名台灣，Microsoft 提到韓國金融機構的案子時也沒有歸給 Storm-0940。工具是公開的，誰在別處用過它、誰打了 91APP，目前沒有任何來源連起來。

寫完之後

整理這四起，我最在意的是範圍：每份公告都給了數字或一個詞，卻沒有一個能回答我在不在裡面，只能先假設自己在裡面。資料是在供應商那邊被讀走的，我自己的 log 也排除不了。

另一件是時間：91APP 公布的時間線上，最早的外部訊號是 10 月 4 日的客戶回報，Zeabur 也是接到用戶回報才開始調查。換成我是那個平台，會先想知道自己的監控能不能比客戶早一步看到。

補充筆記

四起事件的揭露者不同：Zeabur 與 Railway 自己發報告，Railway 標明是初步，91APP 依個資法通報，冷鏈由法國 CERT-FR 發警報。
範圍的單位也不同：Zeabur 給絕對數，Railway 給百分比，91APP 給上限，CERT-FR 只說許多起。
91APP 時間線上最早的外部訊號是 10 月 4 日客戶回報詐騙訊息，通報主管機關在 10 月 15 日。
91APP 的 4,798,255 名消費者是上限，Railway 的 1.85% 是初報數字。
Microsoft 與 CrowdStrike 各自歸因了特定的 ARTEX 行動，但沒有來源把 91APP 或韓國的案子連到 Storm-0940 或 VAPOR PANDA，冷鏈攻擊也沒有任何政府或廠商歸因。
Zeabur 與 Railway 都還沒有最終報告，91APP 的數字沒有修訂。