La brecha de skyticket expuso 14,6 millones de registros, 4,1 millones de contraseñas y 17.780 cuentas bancarias

El 9 de octubre de 2026, Adventure Inc., operadora del sitio japonés de comparación y reservas skyticket, anunció que datos de clientes se habían filtrado a través de tres vías no autorizadas distintas. La mayor: entre el 2 y el 4 de octubre se manipuló una función de administración de skyticket para acceder a datos almacenados en otros servidores y en la nube, lo que afectó a unos 14,64 millones de registros de clientes —nombres tal como figuran en los pasaportes, fechas de nacimiento, correos electrónicos, números de teléfono, direcciones postales y nombres de los ordenantes de transferencias bancarias—, de los cuales unos 4,13 millones incluían las contraseñas de acceso de los miembros almacenadas con hash.

El segundo incidente afectó al sistema de gestión empresarial el 20 de septiembre mediante una vulnerabilidad explotada, detectada el 28 de septiembre: datos de cuentas bancarias para reembolsos —banco, sucursal, número, nombre del titular— de 17.780 registros, incluidos duplicados. El tercero: las páginas de finalización de reservas de autobuses podían verse sin iniciar sesión y fueron vistas de forma automatizada entre el 3 de agosto y el 1 de octubre, lo que expuso unas 12.000 reservas, incluidos nombres, edades y sexos de los acompañantes. La empresa confirmó que no se filtraron los números de tarjeta de crédito, que no almacena ella misma, ni las imágenes de pasaportes.

El descubrimiento fue escalonado —28 de septiembre, 1 de octubre y 5 de octubre— y la respuesta también: la empresa detuvo los pagos con tarjetas guardadas y desactivó la función de guardado de tarjetas a las 18:00 del 7 de octubre, envió correos electrónicos a los clientes afectados a partir de aproximadamente las 19:00 del 8 de octubre y publicó el aviso completo el 9 de octubre, advirtiendo de que tras la filtración llegarían mensajes falsos de «reembolso».

Unos 14,64 millones de registros, incluidos 4,13 millones de contraseñas con hash; 17.780 cuentas bancarias de reembolso; ~12.000 reservas de autobús; función de guardado de tarjetas desactivada.

La intrusión en los servidores partió de una función de administración manipulada: el punto de entrada fueron herramientas internas privilegiadas, no la tienda pública.

Los datos bancarios de reembolso residían en un sistema de gestión empresarial con una vulnerabilidad explotable: un almacén de datos secundario que contenía los campos más peligrosos.

Las páginas de finalización de reservas de autobús mostraban todos los datos de la reserva sin exigir inicio de sesión, por lo que la visualización masiva no necesitaba credenciales en absoluto.

Una función de administración usada indebidamente, un sistema empresarial sin parchear y una página de reservas que quedó visible sin inicio de sesión: cada almacén auxiliar de datos de clientes es su propia superficie de ataque.

Adventure bloqueó las vías de acceso tras la detección y afirma que continúa la investigación y refuerza su gestión de la información. La Comisión de Protección de la Información Personal de Japón advirtió el 7 de octubre sobre grandes filtraciones de datos, y la Oficina Nacional de Ciberseguridad comunicó a las empresas el 9 de octubre que había observado varios robos recientes de grandes volúmenes de datos personales. La empresa indicó a los clientes que el único contacto genuino es info@skyticket.com y que nunca solicitará dinero, contraseñas ni PIN, anticipándose a la oleada de phishing que permite una filtración de nombres, direcciones e itinerarios de autobús. No se ha anunciado ninguna multa.