Datenschutzverstoß bei skyticket legt 14,6 Mio. Datensätze, 4,1 Mio. Passwörter und 17.780 Bankkonten offen

Am 9. Oktober 2026 gab Adventure Inc., Betreiber der japanischen Vergleichs- und Buchungsseite skyticket, bekannt, dass Kundendaten über drei separate unbefugte Wege abgeflossen sind. Der größte Fall: Zwischen dem 2. und 4. Oktober wurde eine Admin-Funktion von skyticket manipuliert, um auf Daten zuzugreifen, die auf anderen Servern und in der Cloud gespeichert waren; betroffen sind etwa 14,64 Millionen Kundendatensätze – Namen in der Schreibweise der Pässe, Geburtsdaten, E-Mail-Adressen, Telefonnummern, Postanschriften und Namen von Überweisenden –, von denen etwa 4,13 Millionen gehashte Anmeldepasswörter von Mitgliedern enthielten.

Der zweite Vorfall traf am 20. September das Geschäftsverwaltungssystem über eine ausgenutzte Schwachstelle, die am 28. September entdeckt wurde: Bankverbindungsdaten für Rückerstattungen – Bank, Filiale, Nummer, Kontoinhaber – bei 17.780 Datensätzen einschließlich Duplikaten. Der dritte: Seiten zum Abschluss von Busbuchungen waren ohne Anmeldung einsehbar und wurden zwischen dem 3. August und dem 1. Oktober maschinell aufgerufen, wodurch etwa 12.000 Buchungen offengelegt wurden, darunter Namen, Alter und Geschlecht von Begleitpersonen. Das Unternehmen bestätigte, dass Kreditkartennummern, die es selbst nicht speichert, und Passbilder nicht abgeflossen sind.

Die Entdeckung erfolgte gestaffelt – am 28. September, 1. Oktober und 5. Oktober – und die Reaktion ebenso: Das Unternehmen stoppte Zahlungen mit gespeicherten Karten und deaktivierte die Karten-Speicherfunktion am 7. Oktober um 18:00 Uhr, schrieb betroffene Kunden ab etwa 19:00 Uhr am 8. Oktober per E-Mail an und veröffentlichte die vollständige Mitteilung am 9. Oktober mit der Warnung, dass dem Leck gefälschte „Rückerstattungs“-Nachrichten folgen würden.

Etwa 14,64 Mio. Datensätze, darunter 4,13 Mio. gehashte Passwörter; 17.780 Bankkonten für Rückerstattungen; ~12.000 Busbuchungen; Karten-Speicherfunktion abgeschaltet.

Der Server-Eindringling begann mit einer manipulierten Admin-Funktion – privilegierte interne Werkzeuge waren der Einstiegspunkt, nicht der öffentliche Storefront.

Die Bankdaten für Rückerstattungen lagen in einem Geschäftsverwaltungssystem mit einer ausnutzbaren Schwachstelle – ein sekundärer Datenspeicher mit den gefährlichsten Feldern.

Die Seiten zum Abschluss von Busbuchungen zeigten vollständige Buchungsdaten an, ohne eine Anmeldung zu verlangen, sodass für die massenhafte Einsichtnahme überhaupt keine Zugangsdaten nötig waren.

Eine missbrauchte Admin-Funktion, ein nicht gepatchtes Geschäftssystem und eine ohne Anmeldung einsehbare Buchungsseite: Jeder zusätzliche Speicherort für Kundendaten ist eine eigene Angriffsfläche.

Adventure blockierte die Zugangswege nach der Entdeckung und erklärt, die Untersuchung fortzusetzen und sein Informationsmanagement zu stärken. Japans Kommission für den Schutz personenbezogener Daten warnte am 7. Oktober vor großen Datenlecks, und das Nationale Cybersicherheitsbüro teilte Unternehmen am 9. Oktober mit, es habe mehrere große Diebstähle personenbezogener Daten in jüngster Zeit festgestellt. Das Unternehmen teilte Kunden mit, der einzige echte Kontakt sei info@skyticket.com, und es werde niemals Geld, Passwörter oder PINs verlangen – in Erwartung der Phishing-Welle, die ein Leck von Namen, Adressen und Busreiserouten ermöglicht. Eine Geldbuße wurde nicht angekündigt.