商業周刊這次資安事件，已確認有台灣與香港伺服器的部分資料遭到加密；會員個資、信用卡或交易資料是否外洩，則仍缺乏公開的最終調查結論。 對付費讀者來說，另一個要緊的問題是訂閱權益：商周曾承諾依實際中斷天數補足或順延受影響的訂閱與課程服務，並加贈一個月「商周線上讀」，實際安排需核對個別通知。
截至 2026 年 10 月 23 日查閱時，商周的事故公告頁顯示的是 10 月 15 日復原進度，列出線上訂閱、自動續訂扣款與部分課程服務恢復。網站重新開放、外洩調查與訂戶補償，是這起事件需要分別追蹤的三件事。商周官方公告
圖說：商業周刊招牌與雜誌展示空間。圖片出處：Facebook 原始貼文。此圖用於介紹商周，並非本次資安事件的現場紀錄。
商周、城邦與 TOM 集團，是什麼關係？
商周隸屬城邦媒體控股集團，城邦則是香港 TOM 集團出版業務的重要組成部分。這也解釋了為什麼台灣商周的服務事故，會由香港上市的 TOM 集團對投資人發布公告。
TOM 集團有限公司在香港交易所主板上市，股票代號為 2383，總部位於香港。依官方介紹，集團除了出版與廣告，也經營或投資行動網路、電子商務、金融科技及數據分析業務；官方並將 TOM 列為長江和記實業的成員。TOM 公司概覽
可以用下面三個層次理解商周的位置。這是事業關係的簡化整理，並非列出所有中間控股公司與持股比例的法律架構圖。
| 層次 | 公司或事業群 | 主要角色 |
|---|---|---|
| 上層集團 | TOM 集團 | 香港上市科技與媒體集團，出版是其業務之一 |
| 台灣出版與媒體事業 | 城邦媒體控股集團 | 整合圖書、雜誌、數位內容、閱讀與學習服務 |
| 商業與財經內容事業 | 商周集團 | 以《商業周刊》、Smart 智富及相關數位內容、課程服務接觸讀者 |
城邦的事業範圍比商周更大。其 104 公司介紹列有電腦家庭、城邦出版、尖端、商周、儂儂五大出版事業單位；TOM 官網列出的品牌與服務，則包括讀者熟悉的城邦讀書花園、POPO 城邦原創、T客邦、La Vie、美麗佳人，以及商周旗下的良醫健康、alive 和商周 CEO 學院。對 RWP 讀者而言，這個集團的影響力涵蓋了買書、看雜誌、閱讀網路內容與線上學習。城邦公司介紹、TOM 出版業務
不過，這份品牌介紹不是受災清單。即使同屬一個集團，各服務使用的系統與會員資料也未必相同；本次影響範圍仍應以事故公告為準。
商周發生了什麼事？TOM 集團披露了哪些資訊？
商周的網站與線上服務在 9 月 8 日遭受攻擊。依 iThome 9 月 9 日報導，商周已啟動應變，委託第三方協助檢視與復原；城邦回覆媒體時，也確認部分網站及線上服務暫時無法使用。當時公告表示，紙本雜誌的出刊與配送不受影響。
9 月 15 日，母集團 TOM 集團進一步發布數據安全事件公告。TOM 投資人資訊頁可查到這份公告的發布紀錄。依鉅亨網及匯港通訊報導對公告的轉述，台灣受影響的伺服器為主要附屬公司城邦文化事業的「商業周刊」部門提供服務。
這次披露最重要的內容是：台灣伺服器部分資料遭加密，事件又在 9 月 9 日延伸至香港，香港伺服器也有部分資料遭加密。 集團隨後隔離受影響系統、切斷其網際網路連線，並請外部資安專家協助調查，也向台灣及香港相關當局通報。
TOM 在 9 月 15 日的說明仍未確定是否有資料外洩或遺失，以及可能的程度。這是當時的調查狀態；本次查閱也未找到足以回答這些問題的公開最終報告。
香港部分：已知資料遭加密，外洩範圍仍未釐清
目前能確認的是，事件在 9 月 9 日影響到 TOM 位於香港的伺服器，部分資料遭到加密。至於香港有哪些會員、員工或客戶資料外洩、涉及多少人，本次查閱的公開資料尚未提供可確認的清單。
依智通財經對 9 月 15 日公告的轉述，TOM 已隔離台港受影響系統並中斷其網際網路連線，聘請外部專家調查成因與範圍、評估資料完整性及系統安全，也已向台港有關當局通報。公告沒有具名列出接獲通報的機關，也沒有提供香港各項服務的復原日期。智通財經公告轉述
從對外溝通來看，TOM 這份香港上市公司公告著重事故範圍、調查、營運影響與通報；商周的讀者公告則著重哪些服務恢復、補償及防詐。兩者面對的讀者不同，但訂戶需要的答案必須接得起來：香港受影響系統是否處理台灣會員資料？哪些付款通路受影響？調查何時會有下一次更新？這些目前仍缺少具體說明。
RWP 的看法是，公布正在調查是必要的，但還不足以讓付費讀者安心。 若暫時不能確定外洩範圍，至少可以固定更新日期，列出已確認與仍在查的項目，讓讀者不必在投資人公告、媒體報導與客服留言之間自行拼湊。本次未查到香港另行公布的完整消費者問答或最終調查結果；這不代表可以斷言業者沒有私下通知受影響者。
從 9 月停機到 10 月恢復，進度怎麼看？
| 日期（2026 年） | 當時的進展 | 資料依據 |
|---|---|---|
| 9 月 8 日 | 商周部分網站與線上服務遭攻擊後中斷。 | 城邦回覆 iThome；TOM 披露的台灣事件時間為這一天前後。 |
| 9 月 9 日 | 商周公告應變；TOM 後續披露，事件在這天延伸至香港。 | 商周公告的媒體報導、TOM 公告的媒體轉述。 |
| 9 月 14 日 | 提出受影響訂閱與課程的補償原則，並提供部分內容免費閱讀。 | CyberQ 保存、整理的當時公告。 |
| 9 月 15 日 | TOM 公布台港伺服器部分資料遭加密及調查進度。 | TOM 公告紀錄、鉅亨網與匯港通訊。 |
| 9 月 16 日 | 商周主站基礎服務恢復，其他功能仍待重建或驗證。 | iThome 9 月 18 日報導引述商周公告。 |
| 10 月 15 日 | 公布第 2031 期、線上訂閱、自動續訂扣款與 Smart 課程等恢復進度。 | 商周現行公告頁。 |
時間線來源：iThome 首次報導、主站恢復報導、CyberQ 9 月 15 日整理、TOM 公告紀錄及商周公告。這是不同服務分階段恢復的過程，並非所有功能都連續停到 10 月 15 日。
哪些服務受影響？現在恢復到哪裡？
商周主站先恢復，旗下網站與會員功能則有各自的進度。下面把當時的影響和後來的公告分開列，方便訂戶對照自己使用的服務。
| 服務 | 已有公開資訊 | 讀者怎麼理解 |
|---|---|---|
| 商周主站、文章閱讀 | 9 月 16 日宣布基礎服務恢復；10 月 15 日公告第 2031 期內容已上架。 | 主站能看文章，不代表會員相關功能在同一天全部恢復。 |
| 商周 Store | 10 月 15 日公告線上訂閱服務上線。 | 可依官網查詢現行訂閱方案；本文未進行付款測試。 |
| 商周、Smart 數位訂閱 | 10 月 15 日公告自動續訂扣款恢復。 | 訂戶仍應核對自己的訂閱期限與扣款通知。 |
| Smart 課程好學、投資學習 | 10 月 15 日公告課程服務上線，包含實體、直播與線上課程。 | 個別課程的開課、觀看期限與補償以通知為準。 |
| 商周財富網、良醫健康網、alive、Smart 自學網、新財富備忘錄 | 9 月中旬公告仍在驗證，將陸續開放。 | 這是當時狀態，本次未逐站驗證完整功能。 |
| 紙本雜誌 | 事件初期公告指出出刊及配送不受影響。 | 紙本配送與數位帳號服務的影響不同。 |
來源：商周 10 月 15 日公告、iThome 9 月 18 日報導及9 月 9 日報導。本文未登入會員、購買訂閱或逐項測試閱讀與課程功能，也未將所有城邦旗下網站都列為受害系統。
資料遭加密，代表個資或信用卡外洩嗎？
加密與外洩描述的是兩種不同影響。資料被攻擊者加密，可能讓原本的系統無法正常讀取；外洩則涉及資料是否被未經授權的人取得、複製或傳出。兩者可能同時發生，也可能只有其中一種，仍要靠調查判斷。
在這次已取得的公開資料中，部分伺服器資料遭加密已有 TOM 的披露；會員密碼、信用卡、交易紀錄是否外洩，以及實際受影響人數與欄位，尚未取得明確結論。 自動續訂扣款恢復，是服務進度，並不是排除付款資料外洩的調查結果。
目前也未取得可確認攻擊者身分、勒索要求或特定惡意程式的官方說明。因此，這篇將事件稱為「網路攻擊造成部分資料遭加密」，不替尚未公開的攻擊手法下定論。這起 9 月事件與 10 月的 PHP 修補潮，目前也沒有已確認的因果關係。
商周會保留信用卡資料嗎？要不要換卡？
目前不足以認定商周信用卡資料已外洩，也不足以保證所有付款通路都沒有風險。 要回答這個問題，得先分清楚你是在哪裡付款。
| 付款情境 | 公開資料能確認的內容 | 尚不能確認的部分 |
|---|---|---|
| 商周 App 內透過數位商店付款 | 官方 App 條款表示，該機制的付款資料不由商周 App 取得 | 不能延伸成官網、電話或其他通路都不保存卡片資料 |
| 商周 Store 官網刷卡 | 交易條款說明，信用卡資訊用於確認有效性與取得授權 | 未具名說明金流處理商、卡號保存位置或是否採代碼化 |
| 商周／Smart 數位訂閱自動續扣 | 10 月 15 日公告確認續扣功能恢復 | 公告未交代續扣憑證由誰保存，以及本次調查是否涵蓋相關系統 |
來源：商周 App 服務條款、商周 Store 交易條款、復原公告。App 條款沒有顯示更新日期，適用範圍應以你的實際付款機制確認。
因此，現在不能把商周金流簡單歸為「全部自架」或「全部外包」。訂單、訂閱資格、刷卡授權與卡片保存可以由不同系統分工；官網有刷卡欄位，也不直接代表完整卡號存放在商周的資料庫。商周的隱私權聲明列出蒐集與利用資料的原則，但沒有提供足以確認上述分工的技術說明。
自動續訂，不一定要由商家保存完整卡號
一般支付系統可以由金流業者保管卡片資料，商家只保留代表該付款方式的代碼（token），用來發起後續扣款。這是 PCI SSC 支付安全指引介紹的做法，不是已核實的商周架構。PCI SSC 支付安全指引
卡片背面的驗證碼又是另一回事。PCI SSC 明確指出，一般商家不得在交易授權完成後保存驗證碼，即使加密或取得客戶同意也不行；定期扣款並不需要靠保存驗證碼完成。這項規則能說明支付系統應如何運作，不能拿來證明商周實際上保存或未保存了什麼。PCI SSC 定期扣款與驗證碼問答
換卡建議：先看是否有具體風險訊號
RWP 不會只因商周發生資安事故，就建議所有訂戶一律換卡。比較實際的處理方式是：
- 沒有不明交易，也未接獲卡片受影響通知： 開啟交易通知、核對帳單，並留意商周與銀行的後續說明。若仍很不安，可以主動向發卡銀行說明曾使用的付款通路，詢問是否需要預防性換卡。
- 出現不是自己進行的交易，或銀行通知卡片有風險： 立即透過銀行官方 App、官網或卡背電話聯絡發卡銀行，辦理交易查核，並依銀行指示停卡、換卡；不要等商周調查完成才處理。
- 曾在可疑退款連結輸入卡號、驗證碼或一次性密碼： 立即告知銀行你交出了哪些資料，請銀行採取保護措施，不必等到真的扣款才求助。
以玉山銀行的信用卡約定條款為例，發現卡片遭冒用應儘速通知銀行辦理停卡及換卡。各銀行程序不同，請直接洽自己的發卡銀行。玉山銀行信用卡約定條款
如果只是想停止商周續訂，應另向原訂閱通路辦理取消並保留確認紀錄；不要把換卡當成取消訂閱的替代方式。也別因為對方說得出訂單內容，就把退款簡訊當成官方通知。
為什麼網站可以先開，其他功能卻要等？
對讀者來說，都是同一個網站；對系統而言，文章發布、會員登入、訂閱期限、付款與課程授權，可能分別依賴不同服務。以下是一般系統復原的解釋，不是商周已公開的內部架構或鑑識結果。
讀取一篇公開文章，和確認「這位會員付過款、現在有權看這堂課」，需要的資料與檢查不同。後者還牽涉訂單、會員身分及授權是否對得上；其中一個環節尚未驗證完成，就可能需要延後開放。
資料受損後，也不一定把備份倒回去就能上線。資安團隊需要先釐清受影響系統、保存調查資料，確認還原環境乾淨、備份可用，再依重要性逐步恢復服務。CISA 的事件復原指引就強調隔離、備份完整性與在乾淨環境恢復等工作。這些原則有助理解復原為何需要時間，但不能反推商周缺少備份，或斷定它遭到某一類勒索軟體攻擊。
台灣與香港系統接連受影響，也讓跨地區系統的隔離與權限管理成為值得關注的問題。不過，公告沒有揭露實際擴散途徑；究竟涉及共用帳號、連線關係或其他原因，目前無從判定。
主站之外，仍能找到公告很重要
商周這次透過 `campaign.businessweekly.com.tw` 提供事故與恢復資訊，目前頁尾可直接看到 FeverSocial 的服務標示。即使平常使用的功能有問題，讀者仍有一個固定入口查進度，這點對減少混亂很有幫助。官方公告頁
至於主站使用的雲端、DNS 或 CDN，即使能從外部觀測到，也不能據此定位遭攻擊的內部系統。這次取得的官方資訊沒有公開完整架構，本文也沒有足夠證據將事件歸因於特定雲端服務、PHP 或資料庫產品。
把職缺日期放回事故時間線，能看出什麼？
104 確實能查到職缺旁的日期，但目前取得的是列表顯示日期，並非已核實的首次刊登日。以下以 2026 年 9 月 8 日商周受攻擊作為對照，整理 10 月 23 日讀取到的 104 公司頁版本。
| 招募單位與職缺 | 列表顯示日期 | 與 9/8 的日期差 | 工作範圍摘要 |
|---|---|---|---|
| 商周：.NET 工程師 | 9/7 | 前 1 天 | 營運系統、後台與 API 開發維護 |
| 商周：Java 後端工程師 | 9/9 | 後 1 天 | 後端開發與問題排除 |
| 商周：Linux Server 系統工程師 | 9/23 | 後 15 天 | 網站可靠度、雲端與機房維運 |
| 商周：Windows Server 系統工程師 | 9/23 | 後 15 天 | 網站可靠度、雲端與機房維運 |
| 城邦：維運主管（TOC） | 10/13 | 後 35 天 | AD 網域、備份復原及突發事件處理 |
來源：104 商周公司頁第二頁、104 城邦公司頁。列表僅顯示月／日，以上依本次 2026 年查閱情境對照；頁面版本與排序可能變動。
時間上，部分維運職缺的顯示日期落在事故後；工作內容也與復原、穩定服務有關，確實值得追蹤。不過，.NET 職缺顯示的是事故前一天，其他職缺也可能是既有招募重新更新。這份對照尚不足以得出「被駭後才開始找人」或「事故造成 IT 人員離職」的結論。
城邦的應徵分析頁另外顯示 10 月 21 日更新，但那是應徵統計更新時間，不是開缺日。要判斷是否事故後新增編制，還需要首次刊登紀錄、事故前的頁面存檔或公司說明。104 維運主管應徵分析
1111 的商周集團公司頁讀取結果仍顯示 0 個職缺，沒有可供本次對照的招募日期；這只代表該頁，不能推論整個城邦集團沒有徵才。
商周訂戶有補償嗎？先核對自己的權益
有補償承諾。 依 CyberQ 9 月 15 日對商周前一日公告的整理，受影響的付費訂閱與課程，將依實際中斷天數補足或順延原有權益，並加贈一個月「商周線上讀」；詳細方式待系統恢復後以 Email 個別通知。當時也提供第 2026 期雜誌文章免費閱讀。
現在同一公告網址已更新為 10 月的復原資訊，以上補償內容採當時媒體留存的公告說明。本次未取得所有訂戶補償均已完成的證據，因此每位讀者仍需要確認自己收到的通知與帳號期限。
若你訂閱《商業周刊》、Smart 數位服務或購買課程，可以先做以下幾件事：
- 留存訂閱與付款紀錄。 把原本到期日、付款憑證、課程觀看期限及中斷通知留好；收到補償後，核對延長天數和額外贈送權益。
- 向官方確認個別安排。 尤其是同時購買紙本、數位或課程套組的會員，請確認哪項權益受影響、補到哪一天，避免把自動續訂恢復當成補償已入帳。
- 避免多個網站共用密碼。 若有重複使用，可改成各站獨立密碼；重要帳號在支援的情況下啟用雙重驗證。這是日常防護，並不表示商周密碼已證實外洩。
- 核對信用卡帳單。 留意不明扣款；有疑問就自行聯絡發卡銀行。現階段沒有足夠證據將本案寫成信用卡資料已外洩。
- 補償信也要防釣魚。 商周公告明確提醒，不會透過電話、簡訊或通訊軟體要求操作 ATM、網路銀行、轉帳，或索取信用卡驗證碼與帳戶密碼。請自行開啟官方公告查客服資訊，不要跟著陌生訊息中的退款連結操作。
後續最值得留意的，是受影響資料範圍、外洩調查結果，以及自己的補償是否落實。即使網站能正常使用，這些問題仍需要業者分別說明。
和 Readmoo、HyRead 相比，商周的等待確實更難熬
以讀者最在意的「能不能繼續讀、能不能正常使用訂閱」來看，商周從 9 月延續到 10 月的復原歷程，確實比短時間的服務異常更難讓人放心。不過，各平台事件性質不同，主要功能恢復與所有功能恢復也需要分開看。
| 平台與事件 | 可確認的恢復節點 | 怎麼理解這段時間 |
|---|---|---|
| 商周：9/8 受攻擊 | 9/16 主站基礎服務恢復；10/15 公告續訂扣款、Store 訂閱及 Smart 課程恢復 | 兩個節點分別距 9/8 約 8 天、37 天；不是所有服務都停了 37 天，也不是每項功能的精確復原耗時 |
| Readmoo：8/8 惡意流量攻擊 | 8/8 晚間宣布網站購書、閱讀恢復；8/10 宣布含海外卡等付款方式恢復；9/16 才公告文件上傳等功能恢復 | 主要購書、閱讀與付款約 2 天內陸續恢復；部分附加功能的恢復公告距事件約 39 天 |
| HyRead：9/21 維護後異常 | RWP 作者當天下午約 4 點已可連線 | 是個人實測觀察，不能當成全體服務恢復，也不是已證實的資安攻擊 |
| HyRead：10 月圖書館異常 | 約 10/21 前後有集中回報，至 10/22 官方人員已留言表示恢復 | 缺乏精確起訖與完整範圍，不計算停機時數；10/18 的較早回報是否同一問題仍未確認 |
來源：商周復原公告、iThome 主站恢復報導、Readmoo 官方更新紀錄、RWP 的 HyRead 9/21 使用紀錄、HyRead 10 月異常整理。日期差為日曆日相減，沒有精確時間的項目不換算小時。
溝通方式也影響等待的感受。Readmoo 在同一篇公告保留多個更新時間，並直接回答信用卡資料是否保存；官方說法是未儲存讀者信用卡資料。商周的公告提供了復原進度與防詐提醒，但本次查到的說明，仍沒有把官網刷卡、續扣資料保存及事故影響的關係交代清楚。這是讀者可以合理期待補充的資訊，而不是由外界自行猜測的部分。
因此，我們更在意的是：讀者的日常使用何時恢復，以及等待期間是否有清楚答案。不能只拿最後一項功能恢復的日期替各家排名，也不該因事故複雜，就淡化付費服務長時間不完整帶來的不安。
Read with Pro 觀點：能安心讀下去，也是訂閱的一部分
買一本紙本雜誌，拿到手後就能翻開來看；數位訂閱多了一層依賴：帳號、伺服器和授權服務得正常運作，讀者才能進到自己付費購買的內容裡。平常這些系統幾乎沒有存在感，直到某天登入失敗、課程打不開，才發現閱讀也可能被迫中斷。
商周的這段等待橫跨一個多月，期間雖有服務陸續回來，對依賴數位訂閱與課程的讀者，仍很難輕輕帶過。新聞有時效，原本安排好的學習時間也不會因為補償一個月就自動回來。補償可以補期限，卻未必補得回被打斷的閱讀習慣與信任。
我們能理解復原需要安全檢查，也尊重工程師與客服的辛苦。正因如此，管理團隊更需要把更新節奏、替代閱讀方式、個別補償與資料風險說清楚，讓第一線不必反覆回答同樣的問題。讀者的擔心並不是不體諒，而是付費後仍不知道自己什麼時候能安心使用。
商周提出補足中斷天數與額外閱讀權益，是具體的補救方向。接下來更重要的，是每位受影響訂戶是否收到清楚的安排，以及有疑問時能否順利找到人處理。數位內容的價值，除了報導寫得好不好，也包括付費後能不能持續、穩定地使用。
TOM 披露台港部分伺服器資料遭加密，讓這次事件的影響不再只是讀者眼前的網頁打不開。希望後續調查能把資料範圍與處理結果交代清楚，讓訂戶知道還需不需要採取其他行動。網站重新上線是好消息；讀者能放心回到文章和課程裡，才是大家真正期待的恢復。
資料來源
以下資料實際查閱日期為 2026 年 10 月 23 日（台灣時間）。商周公告頁會更新，本文保留各項消息原本的公告或報導日期。
