skyticket 資料外洩事件：1,460 萬筆紀錄、410 萬組密碼及 17,780 個銀行帳戶曝光

2026 年 10 月 9 日，日本比價訂票網站 skyticket 的營運商 Adventure Inc. 宣布，客戶資料已透過三條各自獨立的未經授權途徑外洩。規模最大的一起：10 月 2 日至 4 日期間，skyticket 的一項管理員功能遭人操縱，用以觸及其他伺服器及雲端上所儲存的資料，影響約 1,464 萬筆客戶紀錄——包括護照上所載姓名、出生日期、電子郵件、電話號碼、郵寄地址及銀行轉帳匯款人姓名——其中約 413 萬筆包含會員經雜湊處理的登入密碼。

第二起事件於 9 月 20 日透過一個遭利用的漏洞侵入業務管理系統，並於 9 月 28 日發現：退款銀行帳戶資料——銀行、分行、帳號、戶名——共 17,780 筆紀錄，含重複項。第三起：巴士訂票完成頁面無須登入即可檢視，並於 8 月 3 日至 10 月 1 日期間遭機器大量瀏覽，暴露約 12,000 筆訂票，包括同行者的姓名、年齡及性別。該公司確認，信用卡號（其本身並不儲存）及護照影像並未外洩。

發現時間先後不一——9 月 28 日、10 月 1 日及 10 月 5 日——因應措施亦然：該公司於 10 月 7 日 18:00 停止以已儲存卡片付款，並停用卡片儲存功能；自 10 月 8 日約 19:00 起以電子郵件通知受影響客戶；並於 10 月 9 日發布完整公告，警告外洩之後將出現假冒「退款」的訊息。

約 1,464 萬筆紀錄，其中包含 413 萬組經雜湊處理的密碼；17,780 個退款銀行帳戶；約 12,000 筆巴士訂票；卡片儲存功能已停用。

伺服器入侵始於一項遭操縱的管理員功能——特權內部工具是入侵入口，而非公開的店面。

退款銀行資料存放於一個存在可遭利用漏洞的業務管理系統——這是一個承載最危險欄位的次要資料儲存庫。

巴士完成頁面在無須登入的情況下即呈現完整訂票資料，因此大量瀏覽完全無須任何憑證。

一項遭濫用的管理員功能、一個未修補的業務系統，以及一個無須登入即可檢視的訂票頁面：每一處客戶資料的輔助儲存庫，都是各自的攻擊面。

Adventure 在偵測後封鎖了存取途徑，並表示將持續調查並強化其資訊管理。日本個人情報保護委員會於 10 月 7 日就大規模資料外洩發出警告，國家網路安全辦公室則於 10 月 9 日告知企業，其近期已見到數起大規模個人資料竊取事件。該公司告知客戶，唯一真正的聯絡管道是 info@skyticket.com，且絕不會索取金錢、密碼或 PIN——此舉是為預先因應姓名、地址及巴士行程外洩所助長的網路釣魚浪潮。目前尚未宣布任何罰款。