健身服務公司柏文（8462）發布資安重大訊息：外部系統遭駭客攻擊，企圖竊取員工與會員個資

柏文（8462）資安重大訊息：外部系統遭自動化攻擊，企圖竊取員工與會員個資

9 月 23 日，上市健身服務公司 柏文（8462） 於股市公開資訊觀測站公告，委外系統廠商偵測到其對外服務系統遭 自動化攻擊（利用程式自動化腳本大量發送請求），駭客企圖以分頁方式擷取客戶資料表，涉及公司 員工與會員個資（姓名、電話、電子郵件等）。公司在獲悉後即啟動資安應變流程，並向主管機關通報，初步評估對營運無重大衝擊。

背景與影響分析

• 攻擊手法：駭客利用自動化工具對資料庫執行分頁抓取，屬於「資料外洩前的偵測」階段，目的是先確認資料結構再進一步下載。此類手法在全球資安事件中日益常見，因其成本低、成功率高。
• 受影響範圍：根據公司說明，僅部分員工與會員的個人資料可能被瀏覽，尚未證實有實際下載或外洩。公司已暫停相關 API（應用程式介面）服務，防止進一步讀取。
• 即時因應：柏文立即啟動資安事件處理程序，包括封鎖可疑 IP、加強身份驗證機制、檢查系統日誌，同時向金融監督管理委員會（金管會）與個資保護主管機關報備。

防範與宣導措施

為降低個資被濫用的風險，柏文透過 公司網站、Facebook、Instagram 以及會員 App 四大管道展開反詐騙宣導，提醒會員檢查帳號異常、勿點擊不明連結，並提供資安防護小技巧。此舉符合《個人資料保護法》要求的「資訊安全管理」義務，也有助於提升使用者資安意識。

同時，資安媒體 iThome Security 與 資安日報、資安週報 推出免費電子報訂閱服務，每日或每週直送資安要聞，協助企業與個人快速掌握最新資安脈動。

未來展望與讀者啟示

雖然目前尚未發現實際資料外流，但此事件凸顯 外部委外系統 的資安防護薄弱點。建議企業在選擇委外廠商時，必須審核其資安防護機制、定期進行滲透測試（模擬駭客入侵）以及建立多層次的防禦架構（如 WAF、行為分析）。對於一般消費者，則應持續關注服務提供者的資安公告，並主動更新密碼、啟用雙因素驗證，以降低個資被盜風險。

柏文此番快速通報與多管齊下的防護行動，展現了在資安危機中「透明」與「即時」的最佳實務，值得其他企業參考。未來若能持續強化系統韌性與使用者教育，將有助於降低類似攻擊的成功率，維護會員信任與公司品牌形象。