skyticket 数据泄露：1460 万条记录、410 万个密码和 17,780 个银行账户

2026 年 10 月 9 日，运营日本比价预订网站 skyticket 的 Adventure Inc. 宣布，客户数据通过三条独立的未授权途径泄露。其中规模最大的一起：10 月 2 日至 4 日期间，skyticket 的一项管理功能被操纵，用以访问存储在其他服务器和云端的数据，影响约 1464 万条客户记录——包括护照上所写的姓名、出生日期、电子邮箱、电话号码、邮政地址和银行转账汇款人姓名——其中约 413 万条包含会员经哈希处理的登录密码。

第二起事件于 9 月 20 日通过一个被利用的漏洞袭击了业务管理系统，该漏洞于 9 月 28 日被发现：涉及 17,780 条记录（含重复项）的退款银行账户信息——银行、支行、账号、账户持有人姓名。第三起：巴士预订完成页面无需登录即可查看，并在 8 月 3 日至 10 月 1 日期间被机器访问，泄露了约 12,000 条预订信息，包括同行者的姓名、年龄和性别。该公司确认，其自身并不存储的信用卡号以及护照图像均未泄露。

发现时间参差不齐——分别为 9 月 28 日、10 月 1 日和 10 月 5 日——应对措施也是如此：公司于 10 月 7 日 18:00 停止了使用已保存银行卡的支付，并禁用了银行卡保存功能；于 10 月 8 日约 19:00 起向受影响客户发送电子邮件；并于 10 月 9 日发布完整通知，警告泄露之后将出现假冒的“退款”信息。

约 1464 万条记录，其中包括 413 万个经哈希处理的密码；17,780 个退款银行账户；约 12,000 条巴士预订；银行卡保存功能已关闭。

服务器入侵始于一项被操纵的管理功能——特权内部工具是入口，而非面向公众的店铺前台。

退款银行信息存放在一个存在可利用漏洞的业务管理系统中——这是一个承载着最危险字段的次级数据存储。

巴士完成页面在渲染完整预订数据时无需登录，因此批量查看完全不需要任何凭证。

一个被滥用的管理功能、一个未打补丁的业务系统，以及一个无需登录即可查看的预订页面：每一个辅助性的客户数据存储都是其自身的攻击面。

Adventure 在检测到后封锁了访问途径，并表示正在继续调查并加强其信息管理。日本个人信息保护委员会于 10 月 7 日就大规模数据泄露发出警告，国家网络安全办公室于 10 月 9 日告知企业，其近期已发现多起大规模个人数据窃取事件。该公司告知客户，唯一真实的联系方式是 info@skyticket.com，且绝不会索要钱财、密码或 PIN 码——此举意在预判姓名、地址和巴士行程泄露所引发的网络钓鱼浪潮。目前尚未宣布任何罚款。