委外購物網站的廠商出事了，店家前 48 小時該做哪四件事？
這週發生了什麼：出事的是廠商，要處理的是店家
根據 iThome 的資安週報，11 月第一週最受關注的，是 1shop、Cyberbiz、meepShop 與莫筆克科技等多家台灣電商服務與 ERP 業者，接連傳出資安事件或疑慮。
其中有兩則公告值得細看。11 月 3 日，中天生技說明旗下棉花田的委外購物網站服務廠商，發現系統出現異常資料存取。11 月 4 日，王品集團也公告子公司萬鮮的委外購物網站廠商發生類似事件。兩家都提到，廠商發現後已先阻擋相關存取，購物網站仍正常運作，並已啟動應變與調查。
這兩則公告的處理其實相當有條理。但我們也從中看到一件事：出事的是廠商，要對顧客交代的卻是店家。多數中小企業主平常不會想到這一點，網站交給別人做、別人管，直到某天收到一封「我們發現異常」的通知信。
如果您的購物網站、預約系統或會員系統也是外部廠商在維運，以下四件事，建議您在收到通知的前 48 小時內完成。
前 48 小時：四件該做的事
1. 先問清楚「哪些資料、哪段期間」。 請廠商用書面回覆，不要只講電話。至少要有四項：受影響的資料類型（姓名、電話、地址、訂單紀錄、登入密碼？）、大約筆數、發生的時間區間、目前是否已經止血。付款資料通常在金流業者端，這點也請一併確認，不要自行假設。
2. 換掉「您手上」的鑰匙。 廠商處理他們的系統，您處理自己的。實務上可以先換：網站後台管理員密碼、金流與物流的串接金鑰、LINE 或電子報等第三方服務的存取權杖，以及已離職人員仍在使用的共用帳號。這些動作不用等調查結果，做了也不會有壞處。如果您不確定有哪些金鑰存在，這正是需要盤點的訊號。
3. 準備好對顧客說的話。 依個資法，個資外洩時需要適當通知當事人；委託外部廠商處理個資，法律上責任也不會完全轉到廠商身上。是否需要通知、通知哪些人、用什麼方式，建議與法務或律師確認。同時先備一份客服統一說法，讓第一線同仁知道該回答什麼、不該猜測什麼。若是上市櫃公司，還要留意重大訊息的揭露時程。
4. 留下紀錄，並回頭看合約。 把廠商的通知時間、回覆內容、您採取的每個動作都記下來。接著翻出合約，看有沒有寫明：資安事件的通知時限、事後是否提供事件報告、資料存放位置、終止合約時資料能不能完整匯出。如果合約裡完全沒有這些條款，這不是您的疏失，而是大多數中小企業共同的狀況，但現在是補上的好時機。
事件之外：平常就備好三張紙
您已經做對了最重要的一步：把網站建起來並且讓它運作。接下來，只要再多備三份簡單的文件，遇到事件時就會有很大的差別：
- 聯絡窗口表：廠商的資安聯絡人、緊急電話與回應時間，不是只有業務的 LINE。
- 資料清單：您的系統到底收集了哪些個人資料、存在哪裡、誰能看。
- 可還原的備份：不只是「廠商說有備份」，而是您手上有一份能匯出、也試過還原的資料。
如果您的廠商已經很久沒回訊息，或者您根本不確定誰在維護這套系統，可以先參考我們的外包工程師失聯 5 步驟，把帳號、主機與程式碼的掌控權先釐清。至於網站上線前的安全收尾項目，也可以對照AI 寫的程式碼上線檢查清單。
如果您想了解我們實際怎麼協助盤點、接手與維護，服務範圍與收費方式都寫在服務內容頁面，範圍與價格會先以書面確認。
關於 AI 上線專家
AI 上線專家讓您的 AI 幫您把網站部署上線：把一句話貼給 Claude Code、Cursor 或 Codex，幾分鐘後就有一個 您的名稱.aionline.tw 公開網址，可以直接傳給客戶或同事看。
- 免費預覽，不需信用卡，到期自動下線、不會扣款；滿意再升級為永久，最低 NT$99 / 月起
- 靜態網站、Node／Python 等有後端的網站都能部署，需要資料庫時自動配好 Postgres
- 付費方案可以綁自己的網域；部署不起來或需要客製開發，可以直接聯絡我們