Zeabur遭駭宣布逐步停運，使用平台的企業，個資責任怎麼辦？

最近新創圈在討論 Zeabur 宣布逐步停止營運的消息。不少新創和工程團隊用它部署服務，卻在今年八月、十月接連遇上資安事件。

依官方事故公告，受影響的不只有平台帳號資訊、環境變數中的 API Key 和資料庫密碼；十月事件更確認，部分客戶部署的 PostgreSQL、MySQL 資料庫服務，以及部分 Google Cloud 專用伺服器，遭到未授權存取。

之前聽到 Zeabur 的新聞多半是發展順利，走到這一步，確實令人驚訝。

當大家在算 API Key 被盜刷多少錢、服務要搬去哪裡時，我也很關注個資的部分：如果你的會員系統、訂單資料庫放在 Zeabur 上，現在是不是該查一下？（不知道大家是怎麼做？）

注意以下幾點：

一、委外之後，誰負個資責任？

Zeabur 不只是幫忙把網站上線，也提供資料庫部署、儲存及備份功能。如果企業把會員、訂單個資放在上面，就可能涉及委託處理個資，不必等到平台員工實際打開會員名單才算。

個資法第 4 條規定，受託處理個資者，在本法適用範圍內視同委託機關；施行細則第 8 條也要求委託方對受託者為適當監督。

個資業界常說：工作可以外包，但責任不行。

當然，不是平台一被駭，使用企業就當然要賠償。但企業不能只說「這是雲端廠商的問題」，就認為自己沒有責任；即使尚未證實外洩，安全維護措施不足，也可能涉及違法。

二、憑證外洩，等於個資外洩嗎？

當然不一定，但這次不能只當成憑證外洩來看。

Zeabur 已確認部分客戶的資料庫服務遭未授權存取。至於其中是否存有個資、哪些資料被讀取、複製或竄改，仍須個別查明，不能一概認定所有使用企業的會員資料都已外洩。

反過來說，沒有看到大量下載紀錄，也不代表沒有個資遭侵害。

即使資料庫放在其他地方，只要連線憑證存在 Zeabur，或由部署在上面的程式存取，也應納入檢查。

三、要不要通知當事人？

現行個資法第 12 條，以違反本法規定，致個資被竊取、洩漏、竄改或其他侵害為前提，要求查明後以適當方式通知當事人。

2025 年 11 月公布的新條文，改以知悉所保有個資遭侵害為通知要件，不再以違反本法為前提；但截至本文撰寫時，尚未施行。

所以現在要做的是立即調查、補救，並留下紀錄，不能把「查明後通知」當成一直等下去的理由。另外，是否須向主管機關通報，也要確認各產業的規範。

四、平台停業，資料搬走就好了嗎？

還有留在原平台的那一份。

施行細則第 8 條將委託關係終止時，資料載體的返還，以及受託者所儲存個資的刪除，列為委託方應監督的事項。原始資料、備份與其他副本如何處理，都應確認。

如果你的服務還在 Zeabur 上，建議趕快：

．撤銷舊金鑰、重發新金鑰，並在資料庫端更改密碼，不是只改環境變數。

．檢查異常帳單、登入、資料庫存取紀錄及不明權限。

．保存事故通知、系統日誌與調查紀錄，避免服務終止後無法取得。

．完成資料備份、遷移驗證，並確認平台留存資料的刪除安排。

後續若要追究入侵者可能涉及的刑法第 358、359 條責任，這些紀錄也是重要證據。

沒收到 Zeabur 的個別通知，不代表你的系統安全無虞。

（系統再判斷AI發文/圖 試試看）