資安觀察 ／ 資料更新至 2026 年 10 月 17 日
2026 年 10 月 17 日，台灣雲端部署平台 Zeabur 的用戶收到創辦人林沅霖的信：平台將逐步停止營運，12 月 31 日前全部關閉。這時距離 8 月底的第一次入侵不到七週，第二次入侵才發生三天。
這不只是一家新創的故事。只要公司的網站、系統或 AI 工具跑在別人的平台上，就會遇到同一個問題：服務商出事、甚至消失時，我們準備好了嗎？這篇文章分三部分回答：先釐清 Zeabur 的定位，和 Vercel、Google Cloud、GitHub 有什麼不同；再看兩次資安事件怎麼一步步走到停運；最後整理企業選擇與管理第三方服務的做法。
30 秒看重點
不到 7 週
8 月 27 日與 10 月 14 日兩度遭入侵，第二次範圍更大
4 道邊界
第一次入侵從一個用戶服務的漏洞開始，一路穿到正式資料庫
12 月 31 日
所有服務的最終停止日，部分服務 12 月 1 日起就陸續關閉
48%
Verizon 2026 年報告中，涉及第三方的資料外洩比例（前一年 30%）
約 3 年半
Zeabur 從成立到宣布停運的時間，快速成長也累積了技術債
資料：Zeabur 事件報告與停運公告、Verizon DBIR，詳見文末資料來源。
01Zeabur 是一站式部署平台，省事的代價是交出更多保管權
Zeabur 是台灣團隊打造的雲端部署平台（PaaS），常見的用途有五種：
- 一鍵部署網站：支援 Python、Node.js、Java 等程式，連接 GitHub 後可以自動部署。
- 部署 AI Agent、MCP Server：讓程式持續在線上執行，供 ChatGPT 或其他系統連線。
- 架設資料庫：支援 PostgreSQL 等服務，整合前後端。
- 部署 n8n 自動化系統：利用現成模板快速建立工作流程。
- AI 協助部署：用自然語言讓 AI Agent 協助建立服務、設定環境變數及網域。
方案上，後期主力是「伺服器」：用戶租一台主機，由 Zeabur 代管部署；早期的「共享叢集」則從 2026 年起逐步淘汰。此外還有網域、寄信服務 zSend 與 AI Hub。
它最大的賣點是省事：不用寫 Dockerfile、不用懂 Kubernetes。但省事的另一面，是把更多東西交給平台保管，包括放在環境變數裡的 API 金鑰與資料庫密碼。和常被拿來比較的三個服務放在一起看，差別就很清楚：
| 服務（定位） | 主要用途 | 你交給平台的東西 |
|---|---|---|
| Zeabur 一站式部署平台（PaaS） | 網站、AI Agent／MCP Server、資料庫、n8n 一站上線 | 程式、資料庫、環境變數裡的金鑰，部分方案連主機登入憑證 |
| Vercel 前端雲平台 | Next.js 等前端網站與無伺服器函式，搭配全球 CDN | 前端程式與環境變數；資料庫多半透過整合另外接 |
| Google Cloud 大型雲端基礎設施 | 虛擬機、資料庫到 AI 服務都有，彈性最大 | 硬體與基礎設施；設定、權限與金鑰多半要自己管 |
| GitHub 程式碼代管與協作 | 版本控制、Actions 自動化、Pages 靜態網站 | 原始碼與自動化流程的金鑰；常是部署平台的上游 |
資料：各服務官方說明與第三方比較整理（2026 年 10 月）。
為什麼要先釐清定位
雲端服務都有「責任分擔」：平台代管得越多，你自己要做的越少，但出事時你能掌控的也越少。Google Cloud 像租一塊地，蓋房子、裝門鎖大多是你的事；Zeabur 像拎包入住的公寓，連鑰匙都由管理員保管。後者方便，可是管理員一出問題，所有住戶一起受影響。
02兩次入侵，都從正在淘汰的舊系統開始
2026 年 2 月｜宣布淘汰共享叢集
3 月起不能開新專案、4 月起不能加新服務，但既有服務可以繼續運作
8 月 27 日｜第一次入侵
專案環境變數（含第三方 API 金鑰、資料庫密碼）與帳號資訊遭讀取
8 月 28 日｜靠用戶回報才發現
收到 API 金鑰被盜用的回報後確認入侵，當天發出兩次通知並暫停 AI Hub
9 月 7 日｜事件報告與安全升級
環境變數可改存在用戶自己的伺服器，不再集中在平台資料庫
10 月 14 日｜第二次入侵
攻擊者取得平台資料庫讀取權，部分代管的專用伺服器也遭存取
10 月 16 日｜更正影響範圍
狀態頁承認事件比最初公告的範圍更廣
10 月 17 日｜宣布停止營運
12 月 1 日起陸續關閉，12 月 31 日全部停止
第一次入侵：四道邊界一路失守
根據 Zeabur 9 月公布的事件報告，攻擊路徑是這樣擴大的：
應用程式
用戶部署的開源聊天工具 NextChat 有已知漏洞，攻擊者取得容器內的執行權
共享叢集內網
叢集允許跨專案連線，攻擊者連到路由快取，裡面存著舊版 API 金鑰
平台與雲端帳號
舊金鑰沒有權限範圍與期限，攻擊者用它讀到長期存放的 AWS 最高權限金鑰
正式環境
一個維護排程握有私有網路連線和權限過大的資料庫憑證，成了通往主資料庫的橋
Zeabur 在報告中坦承，內部憑證的保管與權限劃分、共享叢集的網路隔離、異常存取的監控告警都有缺口；監控系統也沒有即時發現入侵。事件期間，有駭客在地下論壇聲稱竊得約 612 GB 資料，Zeabur 則表示沒有找到攻擊者取得完整資料集的證據。
看懂這件事
起點是用戶自己部署的開源工具漏洞，但讓災情擴大的，是平台每一層都少了一道門：金鑰放錯地方、權限給太大、內網沒有隔開。資安上講的「最小權限」和「縱深防禦」，就是要讓任何一層被突破時，都不會直接通到下一層。
第二次入侵：範圍更大，說法也改了一次
10 月 14 日的事件，外流資料包括服務的環境變數、帳號資訊、API Token，以及寄信服務 zSend 的金鑰。狀態頁最初只說舊共享叢集上的用戶資料庫遭存取，約 4 小時 40 分後更正，承認攻擊者握有平台資料庫的讀取權，部分專用伺服器也受影響。截至發稿，完整根因仍在調查。
看新聞，先看主詞
報導中的「Google Cloud 專用伺服器遭存取」，指的是用戶透過 Zeabur 租用、底層架在 Google Cloud 上、由 Zeabur 代管的主機，不是 Google Cloud 本身被入侵。同樣地，第一次事件裡的 AWS 帳號是 Zeabur 自己的帳號，問題出在金鑰的保管方式。
03資安事件壓垮的，是早已吃緊的信任與成本
創辦人在停運信中說明了決定的原因，整理成三點：
成長遇到瓶頸
n8n、Vibe Coding 等 AI 應用帶來大量部署需求，但 AI 也在快速降低部署本身的門檻，平台的長期價值需要重新思考。
技術債越滾越大
系統源自三年半前一個快速開發的專案，為了追市場不斷調整架構，複雜度與維護成本持續升高。
資安暴露根本問題
兩次事件讓團隊確認系統安全與維運仍有必須正視的缺口，重新評估投入後，決定停止營運。
對雲端平台來說，資安事件不只是技術問題，而是信任問題；信任用完了，生意也就結束了。
——本文觀點
停運時間表
| 時間 | 安排 |
|---|---|
| 即日起 | 停售新的伺服器與網域，開始受理帳戶餘額退款 |
| 12 月 1 日起 | 伺服器停止續約，依各自到期日在 12 月陸續關閉；共享叢集服務全部暫停，可手動恢復以備份資料 |
| 12 月 31 日 | 所有服務最終停止 |
| 尚未公布 | 資料刪除日期、最晚匯出期限、客服停止日期 |
資料：Zeabur 創辦人 2026 年 10 月 17 日致用戶信；表中日期皆為 2026 年。
Zeabur 表示會準備遷移指南，也會提供給 Claude Code、Codex 等 AI 程式助理使用的遷移說明與 Skills，讓用戶借助 AI 搬家。
要記得
12 月 31 日是最後期限，不代表每項服務都能撐到那天。消保官也提醒，業者結束營業無法繼續履約，屬於終止契約，依民法有回復原狀的義務；待退款項除另有約定外，原則上以消費者原本支付的貨幣返還。
04還在用 Zeabur？先止血，再搬家
先止血：就算通知信說你沒受影響
重新登入
Zeabur 已輪替登入工作階段的簽章金鑰
輪替所有機密
環境變數裡的 API 金鑰、資料庫密碼全部換新，重新產生 API Token，再重新部署
換寄信金鑰
使用 zSend 的用戶，舊金鑰已全數撤銷，要建立新的
檢查專用伺服器
更改 root 密碼，刪除不認得的 SSH 金鑰
查帳單與紀錄
檢查 AI 服務等第三方帳單有沒有異常用量，有損失就申請賠償
再搬家：四件事排進遷移計畫
盤點與排序
列出所有服務、資料庫、網域、排程與到期日，從最早到期的開始搬。
備份並實際還原
資料庫匯出到平台以外的地方，並在新環境還原一次，確認資料完整。
網域提早轉出
透過 Zeabur 買的網域已開放自助轉出，提早轉到其他註冊商，避免網站跟著斷線。
退款與賠償分開申請
兩者都透過 Zeabur Support 受理，聯絡時寫清楚要申請哪一項。
搬去哪裡，看服務性質：純前端網站可考慮 Vercel、Netlify 或 GitHub Pages；需要後端與資料庫的全端服務，可看同類型的 PaaS，或直接用 Google Cloud、AWS 等大型雲端的容器服務；想完全掌控的，可以自己租主機，用開源工具管理部署。重點不是挑最大的，而是挑出事時你搬得走的。
05選第三方服務，要把安全和穩定一起放進風險管理
Zeabur 不是特例。Verizon 每年發布的資料外洩調查報告（DBIR）顯示，涉及第三方的外洩比例兩年內從 15% 升到 48%。報告把第三方風險分成三種：軟體供應鏈裡的廠商、保管你資料的廠商、和你系統相連的廠商。Zeabur 對它的用戶來說，同時是後兩種。
有多少資料外洩和第三方有關？
Verizon DBIR 各年報告中，涉及第三方的外洩占全部已確認外洩的比例
2024 年報告
2025 年報告
2026 年報告
※ 每年報告分析的是前一年的事件資料，例如 2026 年報告主要涵蓋 2025 年。
選商前，先問這五個問題
| 面向 | 要問的問題 | Zeabur 案例的提醒 |
|---|---|---|
| 資安成熟度 | 有沒有第三方稽核（如 ISO 27001、SOC 2）？金鑰怎麼加密、誰讀得到？ | 金鑰存在快取裡，最高權限金鑰長期放在設定中 |
| 應變與透明度 | 多快通知？會不會公開完整的事件報告？ | 兩次事件的第一份公告都低估了範圍 |
| 營運穩定性 | 成立多久、靠什麼賺錢？產品線是否常大改？ | 同一年內先淘汰共享叢集，再停掉整個平台 |
| 可攜性 | 用標準容器、標準資料庫嗎？資料能完整匯出嗎？ | 部分服務 12 月 1 日起就停，搬家時間只有約六週 |
| 退場條款 | 停止服務要多久前預告？資料怎麼返還、怎麼證明刪除？ | 資料刪除與匯出期限至今未公布 |
案例對照依據 Zeabur 事件報告、狀態頁與停運公告（2026 年 8–10 月）。
用了之後，把風險管理變成日常
機密不要只交給平台
用專門的密鑰管理服務，或平台提供的加密變數；API 金鑰設定用量上限與異常告警，被盜用時損失才有上限。
最小權限、短期金鑰
每把金鑰只給必要的權限、設到期日並定期輪替；不再使用的立刻撤銷。
備份放在平台以外
關鍵資料定期備份到另一家服務，並定期做還原演練，確認備份真的能用。
先寫好退場計畫
把供應商依重要性分級，越關鍵越要有替代方案，並寫下換平台的步驟與負責人。
第三方風險管理是什麼
企業對外包廠商、雲端服務、SaaS 與 AI 工具做的風險控管，基本循環是：盤點、分級、評估、簽約、持續監控、退場。金融業等受監管產業對委外與雲端服務本來就有較嚴格的要求；中小企業不必做到同樣規模，但至少要知道自己依賴了哪些服務，以及哪一個出事會讓公司停擺。
但，換到大平台就安全嗎？
不一定。2026 年 4 月，Vercel 也發生資安事件：一名員工使用的第三方 AI 工具 Context.ai 先遭入侵，攻擊者藉此接管員工帳號、進入 Vercel 內部，讀取了部分客戶沒有標記為「敏感」的環境變數；有標記加密的變數，則沒有證據遭讀取。
規模不等於免疫
大平台一樣會出事，差別在加密設計、應變速度，以及有沒有本錢撐過事件。
第三方還有第三方
Vercel 的破口是員工用的 AI 工具，供應鏈風險會一層一層往下傳。
自架也有成本
自己管主機要負責更新、備份與監控，沒有資安人力的中小企業未必比較安全。
你的設定也是防線
同樣在 Vercel，有把變數設為敏感的客戶就少了一層風險。工具給的安全功能，要記得打開。
給企業的三個行動
本週：盤點
列出公司用到的雲端服務、SaaS 與 AI 工具，以及各自保管了哪些資料與金鑰。
本月：分級與輪替
依「出事會不會停擺」分級，關鍵服務換掉長期金鑰、設定用量告警。
本季：演練退場
挑一個關鍵服務，實際做一次備份還原與搬遷，算出需要多少時間。
老闆與主管
把供應商風險放進年度檢討；選服務時多問一句：它倒了，我們怎麼辦？
IT 與開發人員
機密集中管理、權限最小化，維護一份依賴清單和遷移手冊。
一般同仁
不把公司資料或金鑰交給來路不明的工具；看到異常帳單或通知，立刻回報。
本文重點
- Zeabur 是一站式部署平台，代管程度比 Vercel、Google Cloud 更高，也保管了更多用戶機密。
- 兩次入侵都從淘汰中的共享叢集開始，暴露出金鑰保管、權限劃分與網路隔離的缺口。
- 停運原因除了資安，還有成長瓶頸與技術債；所有服務 12 月 31 日前停止，部分 12 月 1 日起關閉。
- 涉及第三方的資料外洩已接近一半，選服務要同時看資安成熟度、營運穩定性、可攜性與退場條款。
- 大平台也會出事，真正的保障是機密管理、最小權限、平台外備份和寫好的退場計畫。
想一想
如果你們公司最依賴的一個雲端服務，下個月宣布停止營運，需要多久才能搬完？哪一份資料或哪一把金鑰，會是最先找不到的？
資料來源
- Zeabur（2026/9/7）。Zeabur 2026 年 8 月資安事件報告
- Zeabur 創辦人林沅霖（2026/10/17）。停止營運公告及服務遷移安排（用戶通知信，社群轉載）
- 動區動趨（2026/10/16）。Zeabur 二度遭駭！環境變數與 API Token 外流，用戶自救止血五步驟
- 蕃新聞（2026/10/17）。Zeabur 宣布將停止營運 消保官：退費原則應以原支付貨幣返還
- iThome（2026/8/31）。臺灣新創 Zeabur 資料外洩，駭客聲稱竊得 612 GB 內部資料
- Zeabur 文件。共享叢集（已淘汰）
- Vercel（2026/4）。Vercel April 2026 security incident
- Expert Insights（2026/5/21）。Verizon 2026 DBIR：第三方相關外洩達 48%
- Verizon（2025/4/23）。2025 Data Breach Investigations Report 新聞稿
- GetDeploying。Vercel vs Zeabur
本文插圖為 AI 生成的示意圖。
Edit with Tr.Bug
Follow me on：LinkedIn ｜ 探教育TempEDU
3 Comments.