數位發展部（數發部）資通安全署（資安署）11月11日偕國家資通安全研究院（資安院）、數位產業署舉行記者會，指出境外駭客自今年7月起運用AI代理（AI agent）工具發動網攻，攻擊對象已從政府機關擴大到各類企業與網路平台。臺灣已有十餘家企業及平台受害，累計逾百萬份個資受影響。數發部同步提出五項應變行動，要求企業個資外洩後72小時內通報並通知當事人，也呼籲民眾慎防後續的個資詐騙。
AI工具專挑已知漏洞，直攻後端API
資安署通報應變組指出，這波攻擊多利用PHP、Node.js、GitLab等軟體的已知高風險漏洞，再透過權限較高的應用程式介面（API）大量取得個資，初步調查近半數攻擊與AI有關。資安署說明，這些漏洞的修補方式多半早已公告，攻擊者借助AI可快速寫出攻擊程式，專挑尚未修補的系統下手，若密碼簡單又沒有啟用雙重驗證（2FA），駭客也容易進入後台。
資安院補充，這類AI程式不需要看使用者畫面，直接攻擊後端API，因此介面上已經移除的功能仍可能被打，攻擊者也常利用外洩的憑證（credential）與帳密，自動化大量讀取資料庫。資安院表示，同一波攻擊也波及日本與韓國，來源IP多指向香港，但駭客大量使用跳板，不易追查真實位置。
72小時內完成通報與通知
目前這波攻擊沒有出現勒索，也未見信用卡資料被竊，駭客偷走的是個資，再到暗網賣給詐騙集團，屬於間接財損。資安院查到外洩資料以訂單資料為主，身分證字號與信用卡資料較少，但民眾若接到能說出訂單內容的來電或簡訊，仍容易誤信。
數發部提出五項應變行動：
- 重大資安警訊發布後，72小時內完成升級、修補或其他防護；
- 數位經濟相關企業發現個資外洩，72小時內通報主管機關；
- 72小時內個別通知當事人並提醒詐騙風險；
- 72小時內查明原因並防止擴大；
- 事件發生後一個月內提出檢討與改善計畫，落實個資最小化。
數位產業署表示，這些行動將作為行政檢查與究責依據，檢查目的是協助企業找出根因，而非單純處罰。
企業須落實三項核心措施
資安署指出，面對嚴峻的資安情勢，企業經營者應將資安視為營運關鍵風險，落實三項核心措施。
第一是立即補住漏洞。事前應依資安警訊進行源碼掃描與滲透測試，限期修補已知漏洞；受駭後應全面換發或廢止可能洩漏的金鑰、密碼與存取權杖（Token），並改用短時效憑證，同時清查同類系統與內部後台。修補前務必保全系統日誌（Log），並委由專業鑑識團隊確認無留存後門。資安署提醒，企業若應作為而未作為致生損害，可能需負法律賠償責任。
第二是盡速通知客戶，搶在詐騙集團前面。依《個人資料保護法》第12條，個資遭竊或洩漏時，應查明後以適當方式通知當事人。業者初步掌握受影響範圍後即可先行通知，不必等調查全部結束，公告要清楚說明外洩事件，並明確提醒民眾「官方絕不會做的事」，例如要求操作ATM、網路銀行或LINE退款。委外代管或系統服務平台，也應依合約及時同步通知合作夥伴與品牌。
第三是個資收集最小化。企業應重新審視業務流程，只收集履約必要的欄位，例如超商取貨不必強制填寫完整戶籍住址，並訂定保存年限，過期訂單依法刪除或去識別化，敏感資料分開存放並加密或遮罩。合約中也應要求委外廠商遵循同等規範，業務終止時確實銷毀資料並提供證明。
針對平臺型業者承載大量品牌客戶資料，官員表示平臺責任較大，未來資安強化會更積極，目前仍在宣導期。數發部也指出，資安署與資安院已陸續取得四個美國資安AI模型，將先掃描政府機構與關鍵基礎設施網站，民間企業部分再規劃。
緊急防護與民眾自保
資安院提醒企業，在系統來不及全面修補時，可先做以下處置：
- 暫時下架閒置或較不重要的系統。
- 強制登出並要求換密碼，因為工作憑證若已被取走，雙重驗證也擋不住。
- 嚴密監控資料庫存取，發現大量存取立即阻斷。
民眾遇到自稱客服的來電或簡訊時：
- 對方說得出姓名或訂單，不代表是真客服，不點不明連結，自行開啟官方App或網站查證。
- 凡要求操作ATM、網銀解除扣款或透過通訊軟體退款，都是詐騙，應立即掛斷並撥打165查證。