個資外洩怎麼辦？先講結論：先看外洩的是哪一種資料。帳號密碼外洩就改密碼、開兩步驟驗證；信用卡號外洩就打給發卡銀行，問要不要停卡換卡；如果只有姓名、電話、地址和訂單紀錄，密碼不一定要改，但接下來幾個月要特別小心自稱客服、銀行或檢警打來的電話。
個資外洩之後，最常見的損失不是被盜刷，而是詐騙集團拿著你正確的姓名、訂單內容打來，假裝客服要你「解除分期付款」。聽到這類說法就直接掛掉，自己撥 165 反詐騙諮詢專線，或打官方客服電話查證。
2026 年台灣就發生了酷澎（2 月公布，影響 20 萬名台灣用戶）和 91APP（10 月公告，影響範圍調查中）兩起電商相關的外洩事件。這篇整理不同個資外洩的風險、收到通知後該做的事、最常見的詐騙手法，以及個資外洩查詢的方法。
外洩的是哪一種個資？風險分級表
個資就是「個人資料」，凡是能直接或間接認出你是誰的資料都算，例如姓名、電話、身分證字號、地址、信用卡號，連購物紀錄和病歷也包括在內。不同的資料外洩，被拿去做的壞事不一樣，處理方式也不同。
下表整理常見的外洩資料與風險，粗體表示風險最高、要最先處理：
| 外洩的資料 | 可能被拿來做什麼 | 風險 | 要先做的事 |
|---|---|---|---|
| 姓名、電話、Email、地址 | 詐騙電話、詐騙簡訊、釣魚信 | 中 | 提高警覺，陌生來電先查證 |
| 購物訂單紀錄 | 假客服說出你的訂單內容，讓你相信是真的 | 高 | 聽到「解除分期」就掛斷、撥 165 |
| 帳號密碼 | 盜用帳號，或拿去其他網站試著登入 | 高 | 改密碼、開兩步驟驗證 |
| 信用卡號、有效期限、背面安全碼 | 盜刷 | 高 | 打給發卡銀行，問要不要停卡換卡 |
| 身分證字號、生日 | 冒名申辦、假檢警詐騙時取信你 | 高 | 查信用報告、留意冒名電話 |
| 病歷、健保資料 | 勒索、更精準的詐騙 | 中 | 留意冒用醫院或健保署名義的訊息 |
身分證字號和生日最麻煩的地方，是它們不像密碼可以馬上換掉，外洩之後會被詐騙集團用很久。帳號密碼和信用卡反而比較好處理，換掉就沒用了。
企業外洩個資，要通知你嗎？
要。依照目前施行中的《個人資料保護法》第 12 條，企業違反個資法規定，導致個資被竊取、洩漏時，要查明後以適當方式通知當事人，例如電話、簡訊或 Email。
2025 年 11 月修正的新版第 12 條，改成企業只要「知悉」個資被竊取或洩漏就要通知，不過新條文的施行日期由行政院另定，截至 2026 年 10 月還沒有施行。
收到個資外洩通知後，立即要做的 5 件事
1. 先確認通知是真的，不要點通知裡的連結
詐騙集團也會假冒「個資外洩通知」。收到 Email 或簡訊時，不要點裡面的連結，改成自己打開平常用的官方 App 或官網，看有沒有外洩公告；要打電話的話，打官網上的客服電話，不要打通知裡附的號碼。
2. 改密碼、開兩步驟驗證
外洩的資料裡有密碼，或你不確定有沒有，就把這個網站的密碼改掉；同一組密碼用在其他網站的話，那些網站也要一起改。
改完再開啟兩步驟驗證：登入時除了密碼，還要輸入手機收到的驗證碼，或在手機上按確認。這樣就算密碼外洩，別人也很難登進去。不過簡訊驗證碼還是可能被假網站騙走，網站有提供通行密鑰（Passkey，用手機或電腦的指紋、臉部辨識登入）的話就優先用，可以閱讀通行密鑰是什麼。Email 帳號要最優先處理，因為其他網站的「忘記密碼」大多寄到 Email。
3. 信用卡：看交易紀錄，打給發卡銀行
- 打開銀行 App，檢查最近有沒有不認識的交易或綁卡紀錄。
- 撥信用卡背面的客服電話，說明卡號可能外洩，問銀行要不要停卡、換一張新卡號。
- 發現不明交易，請銀行協助處理爭議款項。
只外洩姓名、電話、地址的話，信用卡不用停，但要留意之後打來說你「信用卡設定錯誤」的電話。
4. 身分證：留意冒用，必要時查信用報告
身分證字號外洩時，可以做這兩件事：
- 查自己的信用報告：財團法人金融聯合徵信中心（簡稱聯徵中心）的個人信用報告，可以看到名下有沒有不認識的貸款或信用卡。中文版每人每年可以免費申請一次，線上查詢可以用自然人憑證，或銀行、證券、保險公司核發的軟體金融憑證；用手機查的話，安裝「TW投資人行動網」App 就能申請。
- 身分證本人遺失或被偷：要立刻掛失，可以親自或打電話到任一戶政事務所、撥 1996 內政服務熱線，或到戶政司網站的「國民身分證專區」線上掛失（有分持自然人憑證與免自然人憑證兩種）。
掛失紀錄會上傳到「國民身分證領補換資料查詢作業系統」，讓金融機構上網查證，避免被冒用；掛失後要盡快親自補發新證，舊證才會失效。如果只是身分證影本或照片外洩、證件還在手上，要不要申請補發，可以先撥 1996 或問戶政事務所。
5. 提醒家人，之後的電話都先查證
詐騙集團拿到外洩資料後，可能過幾個月才打來，也可能打給你家裡的長輩。告訴家人最近有外洩事件，接到自稱客服、銀行、檢警的電話都先掛斷、再查證。
個資外洩後最常見的 3 種詐騙，撥 165 查證
假客服「解除分期付款」
這是外洩之後最常見的手法。對方會先自稱購物網站客服，說出你的姓名、買了什麼、金額多少，再說系統設定錯誤，「誤設成分期付款」或「會重複扣款」，接著轉給假的銀行客服，要你到 ATM 或網路銀行操作取消。
要記得，ATM 和網路銀行沒有「解除扣款」或「取消訂單」的功能；來電顯示有「+」號開頭的號碼，代表是國際來電，也可能是詐騙。聽到「解除分期付款」「重複扣款」就直接掛掉。
假檢警「證件遭冒用」
對方先假冒電信公司、健保署或戶政機關，說你的證件被人冒用，再把電話轉給「警察」或「檢察官」，說你的帳戶涉及洗錢，要你配合「監管帳戶」把錢轉出去。
假檢警詐騙常出現的關鍵字包括：「證件遭冒用」「偵查不公開」「帳戶涉洗錢或其他不法」「加 LINE 定時回報」「監管帳戶」，以及一個機關接著轉給另一個機關主動聯絡你。聽到這些說法就掛斷，再自己查官方電話打過去確認。
假包裹、假訂單簡訊
簡訊說包裹配送失敗、地址有誤要補運費，或是你下了一筆異常訂單，附上連結要你點進去付款或加 LINE。2026 年 10 月 91APP 事件後，就出現冒用品牌名義的詐騙訊息，要消費者付款或加入 LINE。
中華郵政遇到地址不清楚時，會把郵件退回寄件人或試投，不會傳簡訊要收件人線上改地址、付手續費。有真的網購的話，自己打開瀏覽器輸入物流或購物網站的官方網址查件；連結點了之後怎麼判斷網站真假，可以閱讀網站安全嗎？檢查網站是否安全的方法。
怎麼用 165 查證
- 撥 165 反詐騙諮詢專線：不確定是不是詐騙，直接打 165 問，被騙匯款也是打 165 報案，越早報案越有機會攔截。
- 加入 165 的 LINE 官方帳號（@tw165）：可以把可疑訊息傳過去詢問。
- 165 全民防騙網：可以查詢涉詐的網站、高風險賣場等公告。
接到陌生號碼想先查是誰打來的，可以參考另一篇陌生來電查詢，輸入號碼就能知道是誰。
台灣近年的個資外洩事件
酷澎（2026 年 2 月）
2026 年 2 月 24 日公布的酷澎外洩事件，共有 20 萬 4,552 名台灣用戶的個資遭非法讀取，資料包括姓名、Email、電話、配送地址和近 5 筆訂單紀錄。事件發生在南韓，數位產業署 2 月 25 日到酷澎台灣實地檢查。
這些資料可能被用在假冒「解除分期付款」「貨運包裹異常」「客戶售後服務」的詐騙。酷澎對受影響的台灣用戶提供價值 NT$1,000 的購物金，並表示會直接通知受影響的用戶。
91APP（2026 年 10 月）
電商技術服務公司 91APP 在 2026 年 10 月 16 日公告，旗下 Commerce Cloud 商務平台資料庫遭自動化攻擊，部分資訊被未經授權擷取。91APP 是很多品牌官網購物和 App 背後的系統商，所以你沒聽過 91APP，也可能在用它的服務。
數位產業署 10 月 19 日到業者所在地行政檢查，要求盤點被擷取的資料、涉及的品牌與消費者，並依調查結果通知受影響的人；外洩了哪些個資、影響多少人，截至 2026 年 10 月 21 日還在調查。
長慎醫院（2025 年 4 月）
桃園中壢的長慎醫院在 2025 年 4 月 16 日公告電腦系統異常，暫停初診和現場掛號。醫院遭駭客組織攻擊，衛福部證實接獲通報，約有 8 萬多名病患的病歷資料面臨外洩風險，不過官方沒有公布實際外洩的確切人數。
醫療資料外洩比較少直接造成金錢損失，但詐騙集團可能拿病歷內容冒充醫院或健保署聯絡你，接到這類電話一樣先掛斷，再打醫院官方電話確認。
個資外洩查詢：自己檢查有沒有外洩
想知道自己的 Email 有沒有出現在外洩事件裡，可以用下面這些工具。粗體表示可以免費使用：
| 工具 | 可以查什麼 | 要輸入什麼 | 費用 |
|---|---|---|---|
| Have I Been Pwned | Email 出現在哪些外洩事件 | 免費 | |
| Surfshark 資料外洩查詢 | Email 出現在哪些外洩事件 | 免費 | |
| NordPass 線上資料外洩掃描 | Email 是否出現在外洩資料庫 | 免費 | |
| Google 與你相關的結果 | Google 搜尋結果有沒有你的電話、地址、Email | 姓名與聯絡資訊 | 免費 |
| 聯徵中心個人信用報告 | 名下有沒有不認識的貸款或信用卡 | 自然人憑證或軟體金融憑證 | 每年一次免費 |
| Surfshark Alert | 24 小時監控 Email、信用卡、證件號碼 | 要監控的資料 | Surfshark One 以上方案 |
| NordPass 資料外洩掃描 | 24 小時監控 Email、信用卡 | 要監控的資料 | NordPass Premium 以上方案 |
這些工具查的是已經被公開、或流到駭客論壇的外洩資料。台灣電商的外洩事件不一定被收錄，查不到不代表沒外洩，收到企業通知時還是要照上面的步驟處理。
Have I Been Pwned、Surfshark 資料外洩查詢
Have I Been Pwned 是澳洲資安研究員 Troy Hunt 經營的免費網站，在首頁輸入 Email，就會列出這個 Email 出現過的外洩事件、外洩時間，以及外洩了哪些資料，網站也提供新外洩時寄信通知的功能。
Surfshark 資料外洩查詢同樣是輸入 Email 就能查，不用註冊，免費版會隱藏部分細節。操作畫面可以參考另一篇 Surfshark 資料外洩查詢工具教學。
Google 暗網報告已經停止，改用「與你相關的結果」
Google One 和 Google 帳戶以前有「暗網報告」，可以監控你的資料有沒有出現在暗網。暗網報告已在 2026 年 1 月 15 日停止掃描、2 月 16 日停止服務，原因是使用者回饋報告缺乏實用的後續處理建議。
現在可以改用「與你相關的結果」，它可以找出 Google 搜尋結果裡出現你的住家地址、電話號碼或 Email 的網頁，並要求從搜尋結果移除。要注意的是，移除後資料還是留在原本的網站上，而且部分功能只開放特定市場的使用者。
Surfshark Alert：自動監控 Email、信用卡與證件
不想自己三不五時去查，可以用監控服務。Surfshark Alert 會 24 小時監控你的 Email、信用卡，以及超過 90 個國家的證件號碼，發現外洩就即時通知，Alert 目前不單獨販售，要訂閱 Surfshark One 或 One+ 方案。
2026 年 10 月查詢時，Surfshark One 的 24 個月方案在台灣官網每月 NT$78、美國官網每月 2.49 美元（黑五活動期間，稅額另計）。各方案完整價格可以閱讀 Surfshark 方案比較，Alert 的使用心得可以參考另一篇 Surfshark Alert 功能是什麼。
監控服務只能通知你，已經流出去的資料沒辦法收回或刪除，收到通知後還是要自己改密碼、聯絡銀行。
以後怎麼減少個資外流？
網站會不會被駭你管不了，能做的是少給一點資料，讓外洩時的損失小一點：
- 註冊不重要的網站用替代身分：Surfshark 的 Alternative ID 可以產生一組替代的姓名、生日、地址和 Email，寄到替代 Email 的信會轉到你的信箱，訂閱 Surfshark 任何方案都可以用；手機號碼要另外購買 Alternative Number，目前只有美國號碼。設定方式可以閱讀 Surfshark Alternative ID 教學。
- 只用一次的網站用一次性信箱：下載試用版、看一篇文章就要註冊的網站，可以用臨時信箱收驗證信，Mac 使用者可以參考另一篇 Tempbox 臨時信箱 App。
- 每個網站用不同密碼：一個網站外洩，其他帳號才不會跟著被登入。密碼太多記不住就交給密碼管理器，NordPass 的功能與使用心得可以閱讀 NordPass 評價。
- 少填不必要的欄位：生日、身分證字號、住家電話不是必填就不要填；網購能用訪客結帳就不要註冊會員，信用卡不要存在不常用的小網站。
- 刪掉不用的帳號：很久沒登入的網站，登入後直接刪除帳號，少一個帳號就少一個外洩來源。
Surfshark One+ 另外有 Incogni，會幫你向資料仲介商要求刪除個資，不過只限美國、英國、歐盟、瑞士和加拿大居民，對台灣讀者幫助有限。
我的建議
收到個資外洩通知，先看外洩了什麼：有密碼就改密碼、開兩步驟驗證，有信用卡就打給銀行，這兩件事 10 分鐘內就能做完。真正要花心思的是接下來幾個月，只要有人打來說要「解除分期付款」、說你的證件被冒用，一律先掛斷、撥 165 查證。
想平常就知道有沒有新的外洩，免費的 Have I Been Pwned 開啟通知就夠用；想同時監控信用卡和證件號碼，或已經在用 Surfshark VPN，可以升級 Surfshark One 使用 Alert，註冊不重要的網站時順便用 Alternative ID；想把所有網站換成不同密碼，NordPass 可以一次處理密碼管理和外洩掃描。
常見問題
個資外洩可以要求企業賠償嗎？
可以依《個人資料保護法》請求損害賠償。依第 29 條，企業違反個資法導致你的個資被侵害，要負損害賠償責任，除非企業能證明自己沒有故意或過失；第 28 條規定，被害人難以證明實際損害金額時，法院可以依情節以每人每一事件新台幣 500 元到 2 萬元計算。
只收到外洩通知、沒有損失，需要報警嗎？
不一定。只收到通知、沒有被盜刷或被騙，照上面的步驟處理就好；如果已經被騙匯款、發現有人冒用你的名義申辦，就要撥 165 或到警察局報案。
外洩的資料可以刪掉嗎？
已經流出去的資料沒辦法收回。能做的是換掉可以換的（密碼、信用卡號），Google「與你相關的結果」可以要求移除搜尋結果裡的電話、地址，但原本的網站上還是會有。
接到詐騙電話但沒有匯款，會有事嗎？
只要沒有匯款、沒有給對方簡訊驗證碼或網銀密碼，也沒有照指示安裝 App，通常不會有損失。掛斷後可以撥 165 通報這個號碼，並提醒家人小心同一類電話。