起點
從競辦遭駭到桃園137帳號案：台灣介選，如何穿過工具追到責任？
前情提要：2026 年 10 月 28 日，民眾黨與台北市長參選人沈伯洋的競辦，分別公開表示網路系統遭攻擊：一方緊急關站，一方說活動網站被灌進假資料。兩案的攻擊者與目的仍待公開鑑識。這些指控讓一個老問題重新出現：干預台灣民主選擇的手段，從暴力、利益交換變成網路操作了嗎？（中央社[1]；鏡報[2]）。
主線 1
同一天傳出兩起遭駭，選民究竟失去了什麼？
2026 年 10 月 28 日上午，黃國昌到刑事警察局報案。根據中央社報導，他說民眾黨內部的電子簽核系統先前已遭駭客入侵，黨已在 10 月 12 日向地檢署提告，並通報主管機關內政部；10 月 27 日晚上，黨的官網又被攻擊，資訊人員發現駭客「想要奪取網站管理權限」，把原本的管理者剔除在外，黨只好緊急關站。黃國昌說，攻擊鎖定的是存放會議紀錄、智庫研究與政策方針的政策會資料庫（1 中央社[1]）。
插畫連線中斷留下的空位，也讓資訊取得的條件浮現。展開這段・還有 4 段、約 368 字
同一天晚上，沈伯洋競辦對媒體說明，自 10 月 23 日起，競辦架設的幾個網站遭到入侵：攻擊者利用上傳功能的設定缺陷取得一台主機的控制權，但沒有拿到設在另一處的官網權限。10 月 28 日晚上新上線的「洋流車掃認領路段網站」，一小時內被灌進七萬多筆假認領數字，競辦稱來自境外 IP，之後改為需登入才能認領（2 鏡報[2]）。
一個關掉的網站，一份被假資料塞滿的活動名單，和一張被改掉的選票，是不同的事。前兩者如果屬實，便可能阻礙政黨工作與支持者參與；但「被駭」這兩個字，還不能回答誰動手、為了什麼，更不能直接推出選票遭到更改。〔來源1、2〕
兩個陣營的說法目前仍是事件當事人的陳述。黃國昌說「不論背後是誰在操控此次攻擊」，並未指認攻擊者；沈方所稱的境外 IP，是網路連線位置，不足以識別幕後身分。「七萬多筆」則是假認領資料筆數，不是受害選民人數。〔來源1、2〕
把新聞講成「舊手段退場，駭客接手」，至少要先查兩件事：網路干擾是不是新出現，實體威嚇與利益交換是不是已經消失。過去的案例，讓這個接棒故事碰到阻礙。
主線 2
駭客早已出現，暴力和利益交換也沒有消失
2014 年 9 月，連勝文競選台北市長時，官網連結被改成導向柯文哲網站，一個多小時才修復。報導沒有交代攻擊者，導向誰的網站也不能證明誰指使（3 公視[3]）。競選網站遭技術干擾，至少在2014年就已有公開報導。
展開這段・還有 5 段、約 391 字
2018 年里長選舉，仍有候選人反覆到競爭者住家騷擾，企圖逼對方退選，後來依選罷法判刑九個月並執行完畢（4 TVBS[4]）。這一案顯示，妨害參選的脅迫可以由候選人自己發動，不能把所有實體威嚇都歸給黑道。
利益交換也仍在。依司法新聞報導，林雪峰於 2023 年受中國浙江台州市台辦指示與資助，招攬村里長等人赴中旅遊，由台辦招待食宿交通，宣傳支持特定總統候選人；他被認定受滲透來源資助行賄，2026 年 7 月判刑四年確定（5 中央社[5]；聯合報[6]）。境外力量可以使用招待旅遊這種利益手段，並不必然要靠駭客。
同樣涉及境外指示，林献元與蘇雲華案用的卻是假民調：兩人依海峽導報人員指示杜撰數據發布，2025 年 5 月判刑定讞並獲緩刑（6 中央社[7]）。
這些案例支持「不同手段仍然並存」，尚不足以算出哪一種在增加、哪一種正在被取代。更有用的發現是：行為人的身分，不能直接告訴我們他會用什麼手段。 境外指示可以配上利益招待，也可以配上資訊造假；實體威嚇則不一定出自幫派。〔來源4–6〕
那麼，網路操作是否一定要等到查出境外指使，才值得追究？桃園的一宗選舉行銷案，讓問題往另一個方向走。
主線 3
137 個帳號背後，為什麼是一家競選行銷公司？
2024 年 3 月，桃園地檢署起訴三人，指他們利用模擬器建立的 137 個臉書人頭帳號，攻擊一名立委候選人的輔選團隊。貼文把候選人塑造成與黑道掛勾，並散布暗指不支持她、她陣營的人就會開槍的恐嚇言論（7 桃園地檢署[8]）。這是檢方起訴認定，後續裁判尚未核得。
插畫看似眾多的聲音，值得回頭辨認製作它們的來源。圖 1
行銷合約與被指控的操作，責任不能畫成同一條線
候選人是服務的客戶，是否就等於候選人指揮假帳號？
| 關係 | 參與者與行為 | 指向 | 檢方所述 | 檢方指稱的目的 |
|---|
| 委託關係 | 友人居間介紹 | 候選人與公司簽行銷合約 | 檢方稱候選人不知情 | — |
| 被指控的操作 | 友人編文；公司負責人協助及指示；員工製圖 | 利用137個人頭帳號貼文及留言 | 三人共同謀議為起訴指控 | 客戶支持與服務評價（並非已實現的結果） |
展開這段・還有 4 段、約 391 字
新聞稿還有一段，比帳號數更值得看。檢方說，一名候選人的友人居間介紹，讓該候選人和公司簽選舉網路行銷合約；檢方明寫那名候選人不知情。公司負責人、員工與這名友人被指共同謀議，目的是讓選民轉而支持客戶，並有利公司行銷服務的評價。〔來源7，新聞稿第2頁〕
如果起訴所述成立，這裡有兩種偽裝：少數操作者以許多帳號出現，讓同一個團隊看似是不同的民眾；操作內容再把對手描繪成會威脅選民的一方。原本用來批評暴力的語言，反而成為製造負面印象的材料。這是我們依帳號與貼文安排作的機制分析，不是已測得的選民反應。〔來源7〕
這和有人真的拿暴力逼退選不同。把「談論黑道」算成「黑道實際介入」，就又混淆了手段與內容。這宗起訴真正揭露的風險，是競選外包服務可能把追求客戶勝選與業績的誘因，變成隱匿來源、冒充多人發聲的操作。它指出應追查的合約與指揮鏈；沒有證明整個行銷產業都如此，也沒有證明這一案有境外指揮。〔來源7〕
所以「誰在干預」不能只查帳號在哪一國，還要查誰委託、誰付錢、誰決定內容。這些責任有沒有已經寫進規則？
主線 4
競選宣傳已有揭露規則，假民意的問題卡在哪裡？
台灣並非沒有規範。選罷法第 51 條要求競選廣告交代刊播者、出資者；第 51 條之 2 要求媒體保存廣告與投放條件等紀錄四年（8 選罷法[9]）。中選會的辦法也納入處理刊播事務的代理人，並要求廣告標示、相關身分與收支資料留存（9 廣告刊播及留存辦法[10]，第2、6、7條）。
展開這段・還有 5 段、約 596 字
因此，不能因為服務是委外，就直接說責任無從追究。桃園檢方也已用散布不實事項、恐嚇等罪嫌起訴，並非因為行為發生在臉書，就沒有刑事法律可用。〔來源7–9〕
而且，來源責任不必等到刑事有罪才成立。中選會一份2024年訴願決定記載，一宗里長選舉紙本文宣案的刑事部分不起訴，臺北市選委會仍因未簽名裁罰十萬元，中選會駁回訴願（10 中選會訴願決定[11]，第1頁）。不起訴不是證明文宣內容真實；這件事顯示，追究內容犯罪與要求宣傳者負責，可以是分開的制度。
但這宗決定處理的是選罷法第52條紙本宣傳品，理由仍以紙類印刷物界定對象，不能拿它直接回答第51條網路廣告如何適用。〔來源10，第3頁〕「能事後追訴內容」，和「選民接觸宣傳時知道委託來源」，也不是同一個保護目標。即使一段批評沒有捏造事實，付費團隊冒充互不相識的民眾，仍可能使讀者誤判發言的來源與份量。這是我們要求釐清揭露責任的理由。
台灣辦法把競選罷免廣告界定為活動期間、付費或有其他對價關係的宣傳；「付費給行銷公司，未向平台買廣告，以人頭帳號留言」是否落在這些刊播與揭露義務裡，不能只憑這段定義替主管機關下結論。我們尚未取得中選會針對這種安排的公開適用說明。應由中選會把界線說清楚，包括代理人與受託刊播者各自的責任。〔來源9，第2條〕
若現行廣告定義涵蓋受託留言，中選會就應用公開例子說明代理人與刊播者的義務；若不涵蓋而要納入，則須循法定程序調整適用範圍。兩種路徑都要處理舉證、受理分工與救濟成本，保護自行發聲者的匿名權，不能靠立場相同推定受雇。對合法行銷業者，這也提供可以事先遵守的界線。這是我們依台灣既有規則提出的制度要求。〔來源7–9〕
主線 5
讓數位文宣帶上刊登者標示
英國把部分數位競選文宣納入標示制度，讓選民知道誰負責刊登。選委會的2024年檢討記錄：回覆調查的候選人有86%表示理解要求、69%認為容易遵守；機關發現違規後，多數競選者依勸告修正。這比只訂下揭露原則多了一步，也有實施經驗可供檢驗（10a 英國選委會檢討[12]，第38–39頁）。
插畫公開訊息的背面，也可以留下通往製作者的線索。但警方仍反映，哪些社群貼文適用、該找警方還是選委會，並不總是清楚。這些數字是回覆候選人的看法，不是全體遵守率，也不是秘密操作減少的證據。台灣若要借鏡，需先釐清既有廣告定義與代操的關係，列明受理分工及救濟；否則標示義務可能增加，選民與合法業者仍不知道該找誰。〔來源9、10a〕
到這裡，責任已經比「境外網軍」四個字具體：要追查委託與操作，也要把現有規則落到可遵守的例子。不過，揭露來源仍無法解決另一種傷害——有人直接讓你的網站不能正常使用。
主線 6
沒有證明改票，為什麼仍然是民主保護問題？
FBI 與 CISA 在 2024 年的選舉資安公告指出，就阻斷服務攻擊這一類型，沒有報告顯示它曾阻止合格選民投票、破壞選票完整性或妨礙計票及結果傳送（11 FBI/CISA[13]）。這是美國對特定攻擊類型的說明，不能拿來替台灣兩起入侵、資料灌入指控作鑑識。
圖 2
票匭之前，民主選擇可能在哪一環受損？
不同手段需要保護的，是同一件事嗎？
| 案例與證據 | 直接針對的條件 | 應檢驗的保護責任 | 不能由此推論 |
|---|
| 2018 逼退選案（媒體報導判刑執行） | 參選自由與安全 | 制止威嚇、確保參選 | 不能當黑道整體盛行率 |
| 2023 台辦旅遊招待案（司法新聞報導定讞） | 不受利益交換扭曲的選擇 | 追查資助及行賄鏈 | 不能推算實際換到幾票 |
| 2024 假民調案（司法新聞報導定讞）、桃園假帳號案（已取得起訴稿，後續裁判待核） | 資訊與來源的可信性 | 追究不實內容、釐清委託與揭露責任 | 不能把帳號數當接觸或改變立場的人數 |
| 2026 民眾黨、沈伯洋競辦指控（當事方說法） | 組織、溝通與活動參與 | 修補、保全證據、提供中立支援 | 不能確認攻擊者、政治目的或選票被更改 |
它幫助我們提出一個更準的問題：受損的是哪個環節？逼對手退選，針對的是能否成為選項；用利益換支持，針對的是如何作選擇；假帳號與假民調，針對的是選民判斷所憑的資訊；侵入競辦系統、污染活動名單，則可能妨礙組織與參與。最後一張票即使照實計算，前面的選擇條件仍可能受侵害。〔來源1–7、11〕
檢察官的數字，能告訴我們哪一種介選變多嗎？
檢察機關的「受理」，包括還待查證的案件，並不是已成立的犯罪。2014、2018 年投票前一天上午的地方選舉統計都仍有暴力類受理案件；2022 年已取得的表卻統計到投票後四天。這些數量受到檢舉、立案與截止日影響，不能接成實際暴力的升降曲線（12 法務部2014[14]；13 最高檢2018[15]；14 最高檢2022[16]）。
分類也比「賄選、暴力、其他」三個大格更細。最高檢 2025 年 7 月 31 日表，另列「幽靈人口、不實訊息、選舉賭盤、其他」（15a 最高檢分類表[17]，第1頁）。因此，不能因為新聞稿沒有列出，就說檢察機關不統計資訊操作。不過，「不實訊息」仍不等於「駭入系統」；這張表也沒有把工具、出資者與受損環節交叉列出。
法務部與最高檢對外談介選風險時，應把案件階段、分類定義與截止日一起交代。查察工作量不足以替整段歷史排出一條科技進步線；辨認每種侵害，才知道該由誰處理。那政黨的系統被攻擊時，支援的門在哪裡？
主線 7
國家能幫競辦防駭，又不接管它的政治活動嗎？
中選會自己的系統，提供一個要分開看的對照。2026 年 10 月，候選人財產申報系統被發現可能讓外部人員取得身分證字號。資通安全署 27 日接到通報，28 日派員檢測；官方確認問題出在程式與傳輸流程未妥善過濾欄位（17 資安署[18]）。這是資料處理缺失，不能直接列作外力介選，卻讓我們看見公務系統已有通報與支援路徑。
插畫共同支援如何抵達各方，同時保留各自生長的界線？圖 3
兩項資安承諾，走到哪一步？
已經檢測政府系統，是否等於政黨也知道如何求助？
| 誰在何時承諾 | 已核實的行動或規則 | 尚待驗證的結果 |
|---|
| 資安署2025年9月承諾建立民間重大事件支援機制 | 資安法協助民間的法源、2026年1月施行細則門檻 | 政黨競辦的受理及中立條件、實際求助結果 |
| 中選會主委2026年10月29日提出不同人員複查、政府再驗收 | 資安署此前已在10月28日派員檢測 | 新複查要求的落實，以及同類資料過度揭露是否排除 |
展開這段・還有 7 段、約 762 字
10 月 29 日，中選會主委游盈隆稱委外廠商工程師是無心疏失、尚無實際損害，並提出由另一組人員複查、政府再驗收的「四眼原則」（17a 公視[19]）。對當事人而言，無心與惡意不同；對負責保護資料的中選會而言，沒有惡意也不代表把關有效。複查是否落實、是否驗到同類資料過度揭露，才是驗證改善的問題。
政黨與候選人並沒有以這兩種身分，被明列在資安法的強制納管類別裡。但法律第 4 條已要求政府推動協助民間處理、因應及防範重大資安事件（18 資安法[20]，第3、4條）。因此，未受強制納管，並不等於法律禁止提供協助。
資通安全署在 2025 年 9 月修法時承諾建立民間支援機制（19 資安署[21]）；2026 年 1 月修正的施行細則，已把核心資訊嚴重洩漏或竄改、核心系統停頓等情況，連同重大公共影響及社會矚目等條件，列為民間重大事件的門檻（20 施行細則[22]，第5條）。承諾至少已落到法源與門檻這兩步。
台灣電腦網路危機處理暨協調中心的公開通報入口，則要求使用者確認身分為「一般企業」，另列政府與學術機構的轉接服務；頁面還提供電子郵件通報，沒有說明政黨或競辦如何適用（21 TWCERT/CC[23]）。這是入口說明不清，不能因此認定它曾拒絕政黨。
這裡不宜把「沒強制納管」直接叫作漏洞。強制讓國家檢查政黨的電腦，會牽動反對黨的自主與內部隱私；強制義務與自願求助，原本就可以分開設計。真正該由數位發展部資通安全署說清楚的是：政黨及競辦向哪個窗口求助、用什麼公開標準受理、協助會接觸哪些資料、如何避免偏袒。這些程序不必揭露偵查機密，也能先讓所有陣營知道。
英國 NCSC 的帳號登記服務列出所有候選人、民選官員與黨魁，個人防護服務採邀請制（22 NCSC[24]）。美國聯邦選舉委員會允許非營利組織，依事先確定的客觀標準、以不偏黨派方式提供符合條件陣營免費或折扣資安服務（23 FEC[25]）。這些安排證明支援可以設條件，不必只有全面納管或放任自保兩個選項；它們並不證明每個小黨都已得到同等保護。
競辦與受託業者也有責任：沈方已自述主機的上傳設定存在缺陷，改為登入認領只能回答活動網站的一部分問題，不能單獨證明主機入侵原因已排除。刑事歸因需要證據，修補與中立支援的規則則可以先做；兩者不必互相等待。〔來源2〕
主線 8
我們的判斷
若桃園起訴所述成立，競選行銷的服務評價誘因，可能促成冒充多人發言。[1][2][4][5][6][7][8][9][10][11][19][20][21][22][23][24][25]
1. 確定：實體威嚇、利益交換與數位操作針對不同選擇條件。工具、行為人與損害分開追，才不會把「談黑道的假訊息」誤算為「黑道動手」。〔4–7〕
2. 有理由懷疑：桃園案須沿委託、編文與指揮鏈核責，而非憑誰受益定罪；兩起競辦遭駭指控則須另核控制權侵害與目的，不能套用桃園的動機。〔1、2、7〕
3. 確定：刑事追訴、來源揭露與資安支援各處理不同風險。紙本文宣已有獨立於刑事結果的來源責任；網路代操適用與政黨求助條件，仍須讓人知道如何遵守、向誰求助。〔7–10、18–23〕
我們主張中選會釐清代操揭露責任，並驗證自家系統的複查承諾；資通安全署應公開中立支援條件。若桃園裁判否定起訴機制，或查得既有明確適用說明與支援程序，相應判斷須修正。
主線 9
留給你想的問題
國家應能追到政治宣傳背後多深，又應在哪裡停下？
要求受託競選團隊揭露來源，可以讓選民辨認宣傳，也可能迫使權力的批評者交出身分。透明與免受報復都值得保護，界線畫在哪裡，決定由誰承擔查錯的代價。
假設你負責競選網站，遭攻擊後急需恢復，你願意交出多少內部資料？
接受政府或共同支援組織檢測可能更快恢復運作，保留內部自主與支持者隱私則可能承擔更高的自救成本；保護需要信任一個日後可能由對手掌握的機構。
插畫讓光透進來，也為需要遮蔽的聲音保留位置。本報導的限制
本報導只用搜尋得到的公開證據與資訊，未聯絡當事人、未索取非公開資料。可以確認的是不同手段的具體案例與既有制度條文；不能據此估計全台發生率、判定兩起遭駭的幕後，或計算任何操作改變多少選票。[1][2][8][9][10][11][12][14][15][16][17][18][19][20][21][22][23]
2026 遭駭指控：尚未取得兩陣營與刑事警察局的獨立鑑識、完整損害及復原驗證。這些資料可能改變對攻擊目的、針對性、共同來源與修補成效的判斷。一般網站漏洞遭機會型利用仍是合理競爭解釋；同週出現 PHP 警訊，不能連成兩案的攻擊入口。
桃園案的責任鏈與後續裁判：目前核心依據是 2024 年 3 月 18 日起訴稿，尚未核得一審、上訴及是否確定的裁判。檢方稱客戶候選人不知情；不能以其他案件的公司或人員關聯，補成這案的境外指揮。若裁判否定起訴所述動機、分工或內容，正文分析必須改寫。
競選代操規範：未取得中選會對「付費給行銷公司、未向平台買廣告、以帳號留言」的明確函釋或裁罰。也未取得桃園案合約、付款及實際觸及資料，不能判定具體揭露義務或操作效果。2024年訴願決定只核到第52條紙本規則，不能代替第51條網路廣告適用；2018年委託研究僅有待核的機器辨識文字，未作現行正式解釋。若出現明確適用決定，對中選會的批評就要相應收窄。
英國標示制度：第38–39頁的比例以回覆調查的候選人為對象，該處未列各題有效樣本數。勸告後修正與警方反映困難，是選委會報告的觀察，未核得秘密帳號減少或選民更能辨認來源的成效。
跨屆統計：2022 投票前一天分類與最高檢 2026 年 9 月份附件未取得；後者的公告存在，不等於內容已核實。2025 年附件已核到「不實訊息」等細目，但該年混合不同選舉類型，不能代替 2026 年地方選舉資料。法務部、最高檢若公布同口徑的分類定義與個案對照，可能改變我們對統計辨識能力的判斷。沒有可比數位事件的母數，替代、增加與偵測可見度的消長仍未解。
官方系統的改善與損害：主委的「無心」「尚無實際損害」是當時的說明，不是我們已獨立確認的結論。未取得存取紀錄與獨立鑑識，無法量化外流人數；四眼原則仍缺落實與複驗結果，若公布，可能改變改善責任的判斷。
民間支援落實：未查得資通安全署對政黨與競辦的專門申請程序及兩案是否受助，不能推定內部沒有協助。也沒有各競選團隊的人力、預算與求助結果，不能宣稱大黨一定獲得較多保護。
