SkyCloud CDN 資安升級：因應台灣金融與電商資安事件，推出 API 白名單與金鑰加密強化

2026年11月上半月重大資安事件一覽

11 月上半月的事件集中在金融與電商供應鏈，入侵點幾乎都是「供應商系統、第三方工具或外流的金鑰」，而不是企業自己的主系統。

永豐銀行：攻擊從「中台」切入

永豐銀行調查指出，外部駭客利用新網銀交易系統的供應商安全設定，以特定手法隨機試誤取得有效帳戶後轉帳，並無個資外洩軌跡。受影響共 418 人、427 筆，多數單筆 10 萬元，總計約 4,176 萬元；銀行已全數返還，並將向系統供應商求償。

金管會副主委陳彥良 11 月 11 日表示，銀行過去多把防護重點放在前台與後台，這次卻是從中台發生，將要求金融機構全面檢視防護機制、補強中台缺口。

91APP：一個沒更新的工具，加上一把放錯地方的金鑰

91APP 調查報告指出，攻擊者 10 月 3 日以 AI 自動化攻擊工具 ARTEX，透過一套未更新的內部工具（Appsmith）進入內網，再從 GitLab 取得資料庫金鑰，直接存取訂單資料庫，直到 10 月 14 日才被阻斷。外洩資料包括姓名、電話、配送地址、電子郵件與購買紀錄，不含信用卡與會員密碼。

91APP 自 11 月 2 日起陸續通知可能受影響的消費者，並宣布導入零信任架構、網路微分段與最小權限存取。

電商供應鏈的連鎖效應

91APP 之後，1shop、Cyberbiz、meepShop 與電商 ERP 業者莫筆克科技也陸續傳出資安事件或疑慮，眾多品牌商跟著發布公告，展碁國際子公司好漾生活更先行暫停線上商店。11 月 11 日，地下論壇出現全家行動購、寶雅、康是美、無印良品的訂單資料，駭客宣稱達 790 萬筆。全家表示，若後續有消費者求償，將向委外廠商 91APP 追償。

國際事件：供應商與開發者成為入口

幣安揭露，駭客以假面試及遭竄改的軟體安裝程式入侵工程師電腦，再滲透錢包簽章服務。歐洲多國超市與法國血液機構的冷藏設備，則是因設備供應商系統遭入侵，溫度設定被調到極端數值。此外，群暉 NAS 遭 C3RB3R 勒索軟體攻擊，Ivanti、Zyxel、Cisco 網路設備的零時差漏洞也接連遭利用。

這些事件的共同點：攻擊者不一定要「破解」系統

攻擊者只要找到一個沒管好的設定、帳號或金鑰，就能長驅直入。永豐銀案是供應商的安全設定被利用，91APP 案是未修補的內部工具加上放在 GitLab 的資料庫金鑰，幣安則是從工程師個人電腦一路滲透到核心服務。

AI 工具普及後，這類「找漏洞」的工作被大量自動化。奧義賽博科技執行長吳明蔚指出，未修補的漏洞與弱密碼這些老破口，如今在 AI 協助下能以前所未見的速度被攻破；微軟也揭露，中國背景駭客組織利用 ARTEX 自動執行偵察、掃描與密碼噴灑，部分案例不到 3 小時就取得企業雲端高權限。全球已公開的漏洞（CVE）數量，今年截至 10 月已超過 8.6 萬個，比去年全年約 4.8 萬個成長 79%。

我們近期也觀察到部分客戶發生資安事件。因此，SkyCloud 建議您立即從以下三方面檢查並強化防護。

一、落實最小權限原則：源站只允許 CDN 存取

CDN 與 WAF 只能保護「經過 CDN」的流量；一旦源站 IP 外流，攻擊者就能繞過所有防護，直接打到您的主機。91APP 事後補強的方向之一，也正是網路微分段與最小權限存取。

防火牆只放行 CDN 節點：在防火牆或安全群組中，只允許 SkyCloud CDN 節點 IP 連線至源站，其他來源一律拒絕。

避免源站 IP 外流：檢查 DNS 歷史紀錄、子網域、郵件標頭等可能洩漏源站 IP 的地方，必要時更換源站 IP。

確認請求真的來自 CDN：可搭配自訂回源 Header 或 Token 驗證，讓源站只接受帶有正確驗證資訊的請求。

二、強化密碼並啟用二次認證（MFA）

AI 工具能以極高頻率反覆嘗試登入，弱密碼與單一密碼已經擋不住；永豐銀案中，駭客同樣是以試誤方式找出有效帳戶。管理帳號一旦失守，攻擊者就能直接修改 CDN、DNS 或源站設定。

高強度且不重複的密碼：CDN 管理後台、源站主機、DNS 及雲端平台帳號，都應使用高強度且不與其他服務重複的密碼。

所有管理帳號啟用 MFA：即使密碼外洩，攻擊者仍需第二道驗證才能登入。

定期盤點帳號：停用離職人員及不再使用的帳號，避免留下無人看管的入口。

三、加嚴 API 與自動化工具權限，只開放白名單

API Key 和資料庫金鑰就是系統的「數位鑰匙」。91APP 案中，攻擊者正是用一組放在 GitLab 的合法金鑰直接存取資料庫；對系統來說，這樣的存取看起來完全正常。

API 只對白名單 IP 開放：不使用的 API Key 立即撤銷。

依用途拆分 API Key：每組金鑰只給必要權限，並定期輪替。

金鑰不進程式碼：不要把 API Key 或資料庫金鑰存放在程式碼、Git 儲存庫或共用文件中。

盤點第三方工具：定期更新內部使用的第三方工具與套件，避免留下未修補的漏洞。

SkyCloud 即將推出的資安強化措施

除了請客戶自行檢查設定，SkyCloud 也將從平台端加強三項防護。

升級 API Key 加密機制：強化金鑰儲存與傳輸的加密保護。

新增重要 API 白名單設定：客戶可自行指定允許呼叫重要 API（如設定變更、憑證管理、快取清除等）的來源 IP。

加嚴敏感操作驗證：部分高風險操作將需要額外驗證。

這些調整可能會讓部分操作多一道步驟，或需要您配合更新設定，敬請見諒。詳細時程與設定說明會另行公告。

常見問題

結語：先把設定、帳號和金鑰管好

11 月上半月的事件說明了一件事：資安破口往往不在最核心的系統，而在供應商設定、內部工具和一把放錯地方的金鑰。源站只對 CDN 開放、管理帳號全面啟用 MFA、API 只開白名單，是現在就能做、也最有效的三步。

如需協助設定源站存取限制、MFA 或 API 白名單，歡迎聯繫聯絡 SkyCloud騰雲運算，MAIL：marketing@skycloud.com.tw。