跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#資料外洩#網路釣魚#帳號憑證#事件應變#南韓

CHAEVI 電動車充電應用程式資料外洩（298,000 筆紀錄）：外洩了什麼，使用者該怎麼做

韓國電動車充電平台 CHAEVI 表示，2026 年 7 月 23 日的駭客攻擊外洩了 298,333 筆紀錄。外洩內容為何、是否包含充電紀錄，以及該怎麼做。

發布於 2026-09-30 更新於 2026-09-30 最後核實 2026-09-30 閱讀時間 4 分鐘
本頁內容

適用對象：曾使用或曾註冊 CHAEVI（채비，南韓電動車充電應用程式）的任何人；想了解充電應用程式外洩可能暴露哪些資訊的各地電動車駕駛；以及處理使用者資料的小型平台開發者與營運者。本文依據 CHAEVI 在其官方網站發布的公告撰寫，不描述攻擊手法。

使用者現在該怎麼做

1

自行前往 CHAEVI 網站，確認自己是否受影響

CHAEVI 的公告表示，外洩項目因人而異，可以在其「個人資料外洩查詢」頁面確認。不要使用透過電子郵件或簡訊收到的查詢連結。請自己在瀏覽器輸入 chaevi.com，或透過你已安裝的 CHAEVI 應用程式進入。提供「查詢你的資料是否外洩」的訊息，是常見的假連結手法。

2

更換密碼，從重複使用密碼的地方開始

CHAEVI 7 月 26 日的公告要求使用者立即更換密碼，7 月 30 日的後續公告則建議，若你在其他網站使用相同或類似的密碼，也應一併更換。電子郵件加上密碼（已加密）合計外洩於 131,411 + 829 筆紀錄中。

更換順序為 電子郵件帳號 → 銀行與支付 → 其他所有服務，因為控制你電子郵件的人，可以重設你其他服務的密碼。

要在每個服務使用不同密碼，較實際的方法是使用 密碼管理工具；要保護你的電子郵件帳號，請參閱正確選擇多因素驗證。

3

透過應用程式或客服，核實任何 CHAEVI 的電子郵件、簡訊或電話

CHAEVI 表示，它絕不會透過電話、簡訊或電子郵件向你索取密碼、金融資訊或驗證碼。其建議是不要開啟來源不明的簡訊或電子郵件中的連結或附件，也不要在被要求時安裝應用程式。

如果自稱來自 CHAEVI 或政府機關的電話或訊息讓你覺得可疑，請不要回撥來電號碼，而是直接聯絡 CHAEVI 客服 1522-2573（24 小時）。辨識網路釣魚的基本方法，請參閱什麼是網路釣魚。

4

舉報垃圾訊息、簡訊詐騙與未經同意的推銷電話

CHAEVI 請收到未經同意的產品推銷（非法電話行銷）或垃圾與簡訊詐騙的使用者，向 118（韓國個人資料侵害申報中心）或 CHAEVI 舉報。

韓國政府建議的舉報與查詢管道，以及若你已點擊連結該怎麼辦，都根據科學與資通訊部的安全諮詢，整理在我們關於 TVING 使用者在外洩後該怎麼做的文章中。這裡同樣適用相同步驟。

5

若已受到損害，請保留紀錄並聯絡申訴窗口

CHAEVI 的公告表示，目前尚未確認有任何次生損害案例。不過，若有人冒充身分讓你損失金錢，或你懷疑如此，請保留電子郵件或簡訊的截圖，不要刪除，並向 CHAEVI 客服通報。

若需要救濟或諮詢，CHAEVI 建議聯絡韓國個人資料爭議調解委員會（1833-6972）和個人資料侵害申報中心（118）。

假的「未付充電費」和「點數即將到期」訊息很難與真實訊息區分

電動車駕駛經常會收到關於充電付款、會員卡和漫遊價格變動的訊息。一旦「CHAEVI 客戶」的身分與你的電子郵件地址同時被知悉（現在可能已是如此），關於支付未付費用、充電點數到期、補發會員卡或要求外洩賠償的郵件，就很難與真正的通知分辨。

本站建議一個原則：對於任何要求你付款或登入的訊息，不要憑內容判斷真偽，而是 自行打開應用程式，確認是否有相同的通知。

發生了什麼（依 CHAEVI 的公告）

以下是 CHAEVI 在其網站兩則公告中的內容：「關於個人資料外洩事件的通知與致歉」（2026 年 7 月 26 日）和「關於個人資料外洩的補充通知」（7 月 30 日）。

  1. 約 2025 年 1 月

    在調查 7 月事件時，CHAEVI 發現約在此時，客戶姓名、地址、聯絡電話和行動電話號碼（均已加密）、資料建立時間和資料序號也曾外洩（7 月 30 日後續公告）。其經過、項目和規模正與外部專業機構共同調查。

  2. 2026 年 7 月 23 日

    個人資料在非法外部駭客攻擊中外洩。CHAEVI 表示，一察覺便阻斷了攻擊途徑。

  3. 7 月 26 日

    CHAEVI 在其網站公布外洩事件及規模（共 298,333 筆紀錄），並表示已向個人資料保護委員會和韓國網路振興院（KISA）通報。同時提供外洩查詢與更換密碼頁面的連結。

  4. 7 月下旬

    向受影響客戶發出個別通知（第一則通知註明 7 月 27 日，後續通知註明 7 月 26 日）。

  5. 7 月 30 日

    後續公告：CHAEVI 表示已向個人資料保護委員會、KISA、金融委員會、金融監督院及偵查機關通報，並揭露 2025 年 1 月的外洩事件。
298,333
總外洩紀錄數（7 月 23 日事件）
164,858
僅有電子郵件地址
132,240
包含電子郵件加密碼（已加密）（131,411 + 829）
未持有
居民登錄號碼、護照、卡號和帳號（CHAEVI：未蒐集，也未外洩）
僅電子郵件164,858 · 55.3%
電子郵件加密碼（已加密）131,411 · 44.0%
電子郵件加姓名、聯絡電話（已加密）及性別、出生日期等1,235 · 0.4%
以上全部加密碼（已加密）829 · 0.3%

公告外洩項目清單中未列出：充電紀錄 · 充電站位置 · 車輛資訊 · 支付資料

依 CHAEVI 揭露的外洩類型劃分紀錄數。長條長度為占 298,333 總數的比例（兩個較小的群組以最小寬度繪製，以便保持可見）。每組都包含電子郵件地址。
外洩內容（CHAEVI 7 月 26 日與 30 日公告）
總計
298,333 筆紀錄。外洩項目因人而異
每一筆紀錄
電子郵件地址（未標示為已加密）
部分紀錄
密碼（已加密）、姓名（已加密）、聯絡電話（已加密）、性別、出生日期、會員序號、註冊日期
CHAEVI 的說明
標示為「已加密」的資訊以無法解密的單向加密方式儲存和管理，因此即使外洩，外部也無法讀取其實際內容
未外洩
居民登錄號碼、護照號碼，以及卡號和帳號等支付資料。CHAEVI 表示其不蒐集或持有這些資料，並經多次核對確認未外洩
另一起事件（約 2025 年 1 月）
客戶姓名（已加密）、地址（已加密）、聯絡電話（已加密）、行動電話號碼（已加密）、資料建立時間、資料序號。其經過、項目和規模仍在調查中
CHAEVI 的因應
已阻斷入侵途徑並修補漏洞；檢視網路分隔與防火牆；擴大加密範圍；加強存取控制；24 小時監控；正與外部專業機構調查原因並規劃預防措施

充電應用程式可能記錄你的車何時何地充電，這次有外洩嗎？

電動車充電應用程式保存的資料，可能與一般購物應用程式不同。在哪個站、什麼時間、充了多少電，累積起來就是你每日行動的地圖。例如每晚在住家附近的慢速充電樁充電，實際上就等於你的住家位置和回家時間。因此，任何充電平台外洩事件的第一個問題都是：「充電紀錄有包含在內嗎？」

公告外洩項目清單中的內容

  • 電子郵件地址（全部 298,333 筆紀錄）
  • 密碼（已加密，132,240 筆紀錄）
  • 姓名與聯絡電話（已加密）、性別、出生日期、會員序號、註冊日期（2,064 筆紀錄）
  • 2025 年 1 月事件：地址（已加密）等，規模仍在調查中

不在清單中

  • 充電紀錄、充電站位置、車輛資訊（未列出，但也未明確宣告「未外洩」）
  • 居民登錄號碼與護照號碼（未蒐集或持有，由 CHAEVI 說明）
  • 卡號與帳號等支付資料（未蒐集或持有，由 CHAEVI 說明）

有一個區別很重要。CHAEVI 明確表示不蒐集或持有、因此未外洩的，是居民登錄號碼、護照號碼，以及卡號和帳號。公告對充電紀錄或位置沒有任何具體說明；這些項目是單純未出現在外洩項目清單中。根據公告，本站只能說明：「充電紀錄尚未被揭露為外洩項目。」

2025 年 1 月的事件確實包含地址（已加密），但那是客戶資料中的地址欄位，並非充電地點，而且其規模尚未公開。待調查有結果時，我們會更新本文。

「已加密」能防護什麼，又不能防護什麼

CHAEVI 表示，姓名、聯絡電話和密碼是以無法解密的單向方法加密，因此「無法用於識別個人或登入」。一般而言，「單向」代表不會產生可以還原數值的金鑰，因此不會有金鑰與資料一併外洩、進而解鎖資料的風險。這是良好的設計。

不過，單向方法仍有其一般性限制。攻擊者不必還原數值，而可以把常見密碼經過同樣的方法運算，再比對是否有符合的結果。計算速度慢或使用鹽值（為每個密碼加入的隨機值）的方法，會使這種比對成本提高，但像「1234abcd」這樣的密碼，在任何方法下都是最先被猜中的一類。

CHAEVI 的公告沒有說明具體的加密方法，因此本站不評估其強度。對使用者而言，結論都一樣：CHAEVI 本身建議更換密碼，而且電子郵件地址原本就從未加密。雜湊與鹽值的運作方式，請參閱如何安全儲存密碼。

給小型平台營運者的啟示

CHAEVI 的第一則公告依項目組合將外洩分為四類，說明了它不蒐集哪些資料，並同時連結了查詢頁面與更換密碼頁面。讓使用者能立即看出「我屬於哪一類」，是其他平台可以借鑑的格式。以下，本站歸納出營運者可在事件發生前做的三件事。

1

將歷史資料與會員資料分開管理

帶有時間與地點的資料，例如充電、行程、付款，一旦與會員資料結合，就能顯示某人何時在何處。請檢視你的資料表清單，標出每一個以會員 ID 結合後能得出地點與時間的資料表，並為每個資料表設定保存期限。超過所需期限的歷史資料應予刪除，或切斷其與會員 ID 的連結。如何判斷哪些資料根本不該持有，請參閱組織六項安全優先事項。

2

找出以明文（未加密）保存的資料，通常是電子郵件地址

即使姓名和聯絡電話如本案受到保護，作為登入帳號的電子郵件地址往往仍以明文保存。一旦外洩，每位會員都可能成為網路釣魚的目標，因此請把「我們絕不會透過電子郵件索取你的密碼或驗證碼」這句話，以及你的正式寄件網域，放進日常訊息中，就像你會放進外洩通知裡一樣。防止他人偽造寄件網域的設定，請參閱使用 SPF、DKIM 與 DMARC 防止電子郵件偽造。

3

事先準備外洩通知範本

事先準備一份範本，預留空白以填入依外洩類型的筆數、不蒐集的項目、查詢頁面、更換密碼連結、24 小時聯絡電話，以及已通報的主管機關。若在事件發生當天才從頭撰寫，容易遺漏內容，用語也容易前後不一。

本站看法：明確說明「未包含什麼」能減輕焦慮

資料外洩通知發布後，使用者最長久的焦慮，往往來自通知沒有提到的部分，例如「那我的充電紀錄呢？」CHAEVI 透過明確表示不蒐集居民登錄號碼與支付資料，減輕了這方面的焦慮。

對於處理位置或歷史資料的任何服務，本站認為，用一行獨立文字明確說明歷史資料是否包含在內，是減少客服詢問與次生損害最簡單的方法。

參考資料（公開紀錄）

本文的事實依據以下公開資料。我們不對未公開的攻擊手法或原因進行推測。

更新紀錄

2026-09-30：首次發布，依據 CHAEVI 7 月 26 日公告及 7 月 30 日後續公告撰寫。若 2025 年 1 月外洩事件的調查結果或韓國個人資料保護委員會的公告發布，我們將更新本文。

延伸閱讀

FAQ

QCHAEVI 這起資料外洩事件外洩了什麼？
A

根據 CHAEVI 2026 年 7 月 26 日的公告，共 298,333 筆紀錄：164,858 筆僅有電子郵件地址；131,411 筆為電子郵件加密碼（已加密）；1,235 筆為電子郵件、姓名（已加密）、聯絡電話（已加密）、性別、出生日期、會員序號和註冊日期；829 筆則是上述全部加上密碼（已加密）。外洩內容因人而異，CHAEVI 表示使用者可以在其「個人資料外洩查詢」頁面確認自己是否受影響。

Q我的充電紀錄或位置有外洩嗎？
A

CHAEVI 關於 7 月 23 日事件的公告中，外洩項目清單並未包含充電紀錄、充電站位置或車輛資訊。然而，公告並未明確說明這些資料沒有外洩。CHAEVI 明確表示其不蒐集或持有、因此未外洩的，是居民登錄號碼、護照號碼，以及卡號和帳號。另外，它所發現約在 2025 年 1 月的另一起外洩事件包含地址（已加密）；其經過、項目和規模仍在調查中。

Q我在韓國以外開電動車，這件事會影響我嗎？
A

CHAEVI 是南韓的充電服務，因此只有在你曾註冊其應用程式或網站時才屬於受影響範圍。不過，對所有電動車駕駛來說，較廣泛的教訓是：充電應用程式可能保存你的車輛在何時何地充電的紀錄。在任何充電應用程式發生資料外洩後，請確認充電紀錄是否在範圍內，並預設將「未付充電費」的訊息視為可疑。

Q我應該更換密碼嗎？
A

應該。CHAEVI 7 月 26 日的公告要求使用者立即更換密碼，7 月 30 日的公告則建議，若你在其他網站也使用相同或類似的密碼，也應一併更換。CHAEVI 表示，密碼是以無法解密的方式加密，但無論採用何種方法，短的或常見的密碼仍可能被猜中，因此更換密碼是較安全的選擇。

Q如果資料是「已加密」的，我的資料就安全嗎？
A

CHAEVI 表示，標示為「已加密」的資訊是以單向加密方式儲存，無法解密，因此即使外洩，外部也無法讀取實際內容。單向代表沒有可以將數值還原為原始內容的金鑰。不過，公告並未說明具體的加密方法，而且電子郵件地址完全沒有加密，因此你仍需提防網路釣魚。

Q2025 年 1 月的外洩是什麼？
A

根據 CHAEVI 7 月 30 日的後續公告，在調查 7 月攻擊的原因時，它發現約在 2025 年 1 月，客戶姓名（已加密）、地址（已加密）、聯絡電話（已加密）、行動電話號碼（已加密）、資料建立時間和資料序號也曾外洩。其經過、項目和規模正與外部專業機構共同調查，CHAEVI 表示若確認有更多資訊，將另行通知客戶。