Violação de dados da skyticket expôs 14,6 milhões de registros, 4,1 milhões de senhas e 17.780 contas bancárias

Em 9 de outubro de 2026, a Adventure Inc., operadora do site japonês de comparação e reservas skyticket, anunciou que dados de clientes vazaram por três rotas não autorizadas distintas. A maior delas: entre 2 e 4 de outubro, uma função administrativa do skyticket foi manipulada para acessar dados armazenados em outros servidores e na nuvem, afetando cerca de 14,64 milhões de registros de clientes — nomes conforme escritos em passaportes, datas de nascimento, e-mails, números de telefone, endereços postais e nomes de remetentes de transferências bancárias — dos quais cerca de 4,13 milhões incluíam as senhas de login dos membros armazenadas em hash.

O segundo incidente atingiu o sistema de gestão empresarial em 20 de setembro por meio de uma vulnerabilidade explorada, descoberta em 28 de setembro: dados bancários de reembolso — banco, agência, número, nome do titular — de 17.780 registros, incluindo duplicatas. O terceiro: as páginas de conclusão de reserva de ônibus podiam ser visualizadas sem login e foram acessadas por máquinas entre 3 de agosto e 1º de outubro, expondo cerca de 12.000 reservas, incluindo nomes, idades e sexos dos acompanhantes. A empresa confirmou que números de cartão de crédito, que ela própria não armazena, e imagens de passaporte não vazaram.

A descoberta foi escalonada — 28 de setembro, 1º de outubro e 5 de outubro — e a resposta também: a empresa suspendeu pagamentos com cartões salvos e desativou o recurso de salvar cartão às 18h de 7 de outubro, enviou e-mails aos clientes afetados a partir das 19h de 8 de outubro e publicou o comunicado completo em 9 de outubro, alertando que mensagens falsas de "reembolso" se seguiriam ao vazamento.

Cerca de 14,64 milhões de registros, incluindo 4,13 milhões de senhas em hash; 17.780 contas bancárias de reembolso; ~12.000 reservas de ônibus; recurso de salvar cartão desativado.

A invasão aos servidores começou a partir de uma função administrativa manipulada — ferramentas internas privilegiadas foram o ponto de entrada, não a loja virtual pública.

Os dados bancários de reembolso estavam em um sistema de gestão empresarial com uma vulnerabilidade explorável — um armazenamento secundário de dados que continha os campos mais perigosos.

As páginas de conclusão de reserva de ônibus exibiam todos os dados da reserva sem exigir login, de modo que a visualização em massa não precisava de credencial alguma.

Uma função administrativa abusada, um sistema empresarial sem correção e uma página de reserva que permaneceu visível sem login: cada armazenamento auxiliar de dados de clientes é, por si só, uma superfície de ataque.

A Adventure bloqueou as rotas de acesso após a detecção e afirma que continua a investigação e o fortalecimento de sua gestão da informação. A Comissão de Proteção de Informações Pessoais do Japão alertou sobre grandes vazamentos de dados em 7 de outubro, e o Escritório Nacional de Cibersegurança informou às empresas em 9 de outubro que havia observado vários roubos recentes de grandes volumes de dados pessoais. A empresa disse aos clientes que o único contato legítimo é info@skyticket.com e que nunca pedirá dinheiro, senhas ou PINs — antecipando a onda de phishing que um vazamento de nomes, endereços e itinerários de ônibus possibilita. Nenhuma multa foi anunciada.