La fuite de données chez skyticket expose 14,6 millions d'enregistrements, 4,1 millions de mots de passe et 17 780 comptes bancaires

Le 9 octobre 2026, Adventure Inc., exploitant du site japonais de comparaison et de réservation skyticket, a annoncé que des données clients avaient fuité par trois voies non autorisées distinctes. La plus importante : entre le 2 et le 4 octobre, une fonction d'administration de skyticket a été manipulée pour accéder à des données stockées sur d'autres serveurs et dans le cloud, touchant environ 14,64 millions d'enregistrements clients — noms tels qu'inscrits dans les passeports, dates de naissance, adresses e-mail, numéros de téléphone, adresses postales et noms des émetteurs de virements bancaires — dont environ 4,13 millions comprenaient les mots de passe de connexion hachés des membres.

Le deuxième incident a touché le système de gestion d'entreprise le 20 septembre via une vulnérabilité exploitée, découverte le 28 septembre : les coordonnées bancaires de remboursement — banque, agence, numéro, nom du titulaire — pour 17 780 enregistrements, doublons compris. Le troisième : les pages de finalisation de réservation de bus étaient consultables sans connexion et ont été consultées par des machines entre le 3 août et le 1er octobre, exposant environ 12 000 réservations, y compris les noms, âges et sexes des accompagnants. L'entreprise a confirmé que les numéros de carte de crédit, qu'elle ne stocke pas elle-même, et les images de passeports n'avaient pas fuité.

La découverte a été échelonnée — 28 septembre, 1er octobre et 5 octobre — et la réponse aussi : l'entreprise a arrêté les paiements par cartes enregistrées et désactivé la fonction d'enregistrement des cartes à 18 h 00 le 7 octobre, a envoyé un e-mail aux clients concernés à partir d'environ 19 h 00 le 8 octobre, et a publié l'avis complet le 9 octobre, avertissant que de faux messages de « remboursement » suivraient la fuite.

Environ 14,64 millions d'enregistrements, dont 4,13 millions de mots de passe hachés ; 17 780 comptes bancaires de remboursement ; environ 12 000 réservations de bus ; fonction d'enregistrement des cartes désactivée.

L'intrusion sur les serveurs est partie d'une fonction d'administration manipulée — l'outillage interne privilégié a été le point d'entrée, et non la vitrine publique.

Les coordonnées bancaires de remboursement se trouvaient dans un système de gestion d'entreprise présentant une vulnérabilité exploitable — un stockage de données secondaire contenant les champs les plus dangereux.

Les pages de finalisation de réservation de bus affichaient l'intégralité des données de réservation sans exiger de connexion, si bien que la consultation en masse ne nécessitait aucun identifiant.

Une fonction d'administration détournée, un système de gestion d'entreprise non corrigé et une page de réservation laissée consultable sans connexion : chaque stockage auxiliaire de données clients constitue sa propre surface d'attaque.

Adventure a bloqué les voies d'accès après détection et indique poursuivre l'enquête et renforcer sa gestion de l'information. La Commission japonaise de protection des informations personnelles a mis en garde contre les fuites massives de données le 7 octobre, et l'Office national de cybersécurité a informé les entreprises le 9 octobre qu'il avait constaté plusieurs vols récents de grandes quantités de données personnelles. L'entreprise a indiqué aux clients que le seul contact authentique est info@skyticket.com et qu'elle ne demandera jamais d'argent, de mots de passe ni de codes PIN — anticipant la vague d'hameçonnage que permet une fuite de noms, d'adresses et d'itinéraires de bus. Aucune amende n'a été annoncée.