Para: qualquer pessoa que já tenha se hospedado em uma propriedade da Quest Apartment Hotels (incluindo viajantes a negócios e a lazer que visitam a Austrália vindos do exterior), e qualquer pessoa que lide com dados de cartão para reservas ou serviços. Este artigo se baseia nas declarações oficiais da Quest Apartment Hotels e em materiais públicos de órgãos australianos e do PCI Security Standards Council. Não aborda métodos de ataque.
O que os hóspedes devem fazer hoje
Verifique se há um aviso e confira o domínio e o número do remetente
A Quest diz que enviou e-mails diretamente às pessoas afetadas e que usa SMS ou correspondência para quem não tem e-mail cadastrado. O aviso informa quais dos seus dados foram afetados. Verifique a pasta de spam.
Segundo a Quest, os e-mails legítimos vêm de um domínio que termina em questapartments.com.au, e as mensagens SMS sobre o incidente vêm de +61 485 095 177 ou +61 468 153 778. Observe o endereço real do remetente, não apenas o nome exibido.
Se um cartão com CVV foi afetado, pergunte à sua emissora sobre a substituição
A Quest orienta a revisar seus extratos e a entrar em contato com seu banco para comunicar o vazamento. Este site recomenda um passo além: para cartões não vencidos, pergunte sobre a substituição por um cartão com novo número. Número do cartão, data de validade e CVV juntos podem ser usados em compras online.
Se seu cartão foi emitido fora da Austrália, ligue para o número no verso do cartão. Se apenas um número sem CVV foi afetado, continue verificando seus extratos.
Não clique em links de 'confirme sua reserva' em mensagens no WhatsApp ou e-mails
Em 25 de setembro, a Quest alertou sobre e-mails e mensagens no WhatsApp que se passam pela Quest e pedem que clientes confirmem uma reserva próxima clicando em um link. Não clique, não ligue para o número da mensagem, e entre em contato com o hotel diretamente pelos dados do site da Quest. A Quest diz que nunca pedirá senhas ou dados de cartão por SMS (veja o que é phishing?).
Números de passaporte: não tenha pressa em substituir; siga a orientação do órgão emissor
Citando o Australian Passport Office, a Quest diz que, se o número do seu passaporte australiano foi comprometido, o passaporte ainda pode ser usado para viagens internacionais, e um número de passaporte não pode ser usado para obter um novo passaporte. Apenas o número foi afetado, não uma imagem do passaporte.
Esse conselho se refere a passaportes australianos. Se você tem passaporte de outro país, siga a orientação geral do OAIC para documentos de identidade expostos e entre em contato com o órgão emissor.
Números de carteira australiana, Medicare ou NDIS: entre em contato com cada órgão
O FAQ da Quest sugere entrar em contato com os seguintes órgãos, para que um número substituto possa ser emitido, se necessário:
- Carteira de motorista: o órgão de trânsito do seu estado ou território
- Número Medicare: Scams and Identity Theft Helpdesk da Services Australia (1800 941 126)
- Número do NDIS: NDIS Fraud Reporting and Scams Helpline (1800 650 717)
Se você tem crédito na Austrália, considere um bloqueio de relatório de crédito
O FAQ da Quest sugere considerar um bloqueio de relatório de crédito, para que as agências de informações de crédito não possam divulgar seu histórico de crédito a instituições financeiras sem seu consentimento por escrito (o texto explica como solicitá-lo à Equifax e à Experian).
O OAIC também recomenda obter seus relatórios de crédito quando informações financeiras são expostas. Este passo pouco importa para visitantes que não têm histórico de crédito australiano.
Precisa de ajuda? IDCARE, Scamwatch, cyber.gov.au
IDCARE é o serviço nacional australiano de apoio em identidade e segurança cibernética; ele avalia sua situação e elabora um plano de resposta personalizado (para pessoas físicas: 1800 595 160). O Scamwatch trata de golpes e de como denunciá-los; o cyber.gov.au trata de incidentes cibernéticos. O FAQ da Quest também indica o Scamwatch e o cyber.gov.au.
① Número do cartão + CVV (46.727)
→ Ligue para sua emissora, pergunte sobre a substituição, continue verificando os extratos
② Apenas número do cartão (297.739)
→ Informe seu banco, verifique os extratos regularmente
③ Número de passaporte / carteira (104.268)
→ Siga a orientação do órgão emissor; desconfie de contatos que citem seu número
④ Apenas nome e dados de contato (a maioria das pessoas)
→ Não clique em links de mensagens de "confirme sua reserva"
Em todos os casos: nenhum passaporte ou documento de identidade digitalizado foi afetado, segundo a Quest
O que aconteceu (segundo as declarações da Quest Apartment Hotels)
Tudo o que está abaixo vem das declarações oficiais da Quest (19 de agosto, 21 de agosto, 16 de setembro, 23 de setembro e 25 de setembro) e de seu FAQ.
17 de agosto de 2026
A Quest identifica uma queda do site; a investigação confirma que um agente de ameaça explorou uma vulnerabilidade no software de um prestador de serviços terceirizado e obteve acesso ao ambiente da Quest. O incidente foi contido.19 de agosto
Primeira declaração: registros anteriores a junho de 2025, principalmente nomes, endereços de e-mail e outros dados de contato.21 de agosto
A Quest diz que, para a esmagadora maioria, as informações se limitavam a nome e dados de contato, e que notificou e está trabalhando com o OAIC, a Australian Signals Directorate (ASD), o Australian Cyber Security Centre (ACSC) e a polícia de Victoria.16 de setembro
Análise forense dos dados concluída: aproximadamente 1.991.613 clientes afetados, com totais por categoria, incluindo números de cartão com CVV.23 de setembro
Orientação sobre números de passaporte e carteira de motorista; FAQ publicado.25 de setembro
Alerta sobre mensagens no WhatsApp e e-mails que se passam pela Quest.
| Categoria (atualização da Quest de 16 de setembro) | Registros |
|---|---|
| Número de registro do veículo | 225.300 |
| Número de passaporte e/ou carteira de motorista (apenas número, sem documentos de identidade digitalizados) | 104.268 |
| Número de cartão de crédito (sem CVV, incluindo cartões vencidos) | 297.739 |
| Número de cartão de crédito com CVV (incluindo cartões vencidos) | 46.727 |
| Data de nascimento | 3.328 |
| Número do NDIS (apenas número) | 271 |
| Número do cartão Medicare (apenas número) | 46 |
- Escopo
- Aproximadamente 1.991.613 clientes. Registros anteriores a junho de 2025
- Comum às pessoas afetadas
- Alguma combinação de nome, endereço, telefone e endereço de e-mail (o FAQ também menciona informações de reserva e preferências pessoais)
- Algumas pessoas
- Conforme a tabela acima. Nem toda categoria se aplica a cada pessoa
- Causa (segundo a Quest)
- Um agente de ameaça explorou uma vulnerabilidade no software de um prestador de serviços terceirizado e obteve acesso ao ambiente da Quest. Os detalhes da vulnerabilidade não foram divulgados
- Resposta da Quest
- Conteve o incidente e concluiu a remediação; investigou com assessoria jurídica externa e especialistas em análise forense de dados; reforçou os controles de segurança; exigiu que o prestador terceirizado remediasse o ambiente afetado e adicionasse medidas de segurança
- Autoridades
- Notificadas e cooperando com o OAIC, a ASD, o ACSC e a polícia de Victoria
Como ler: 'principalmente nomes e dados de contato' cresceu
Em agosto, a Quest disse que a esmagadora maioria das pessoas afetadas teve envolvidos apenas nome e dados de contato. Cerca de um mês depois, com a análise concluída, publicou totais que incluem números de cartão com CVV e números de passaporte.
Continua verdadeiro que a maioria das pessoas teve apenas nome e dados de contato afetados, mas se você leu a primeira declaração e concluiu que não lhe dizia respeito, verifique novamente se há um aviso. A Quest diz que as notificações estão sendo enviadas em etapas, à medida que verifica as informações de cada pessoa.
Por que havia CVVs nos registros de um hotel? O que diz o PCI DSS
O código de verificação de 3 ou 4 dígitos (CVV) impresso no cartão recebe tratamento especial no padrão de segurança do setor de cartões PCI DSS. Segundo materiais públicos do PCI Security Standards Council (PCI SSC), responsável pelo padrão:
- Os códigos de verificação do cartão são classificados como dados de autenticação sensíveis (SAD), junto com dados completos da tarja magnética (trilha) e PINs.
- Dados de autenticação sensíveis não podem ser armazenados após a autorização, mesmo criptografados, e isso se aplica até em ambientes onde não há número de cartão.
- Manter códigos de verificação após a autorização não é permitido nem com a permissão do cliente, nem para cartões armazenados ou transações recorrentes. A exceção são emissoras e empresas que oferecem serviços de emissão com necessidade comercial legítima.
- O PCI DSS não proíbe coletar o código antes de a transação ser autorizada.
Pode ser armazenado após a autorização (aplicam-se requisitos de proteção)
- Número do cartão (PAN)
- Nome do portador
- Data de validade
- Código de serviço
Não armazenado após a autorização (dados de autenticação sensíveis)
- Códigos de verificação do cartão (CVV etc.)
- Dados completos da trilha (tarja magnética ou equivalente em chip)
- PINs e blocos de PIN
Então, o que eram os 46.727 CVVs nos registros da Quest? A Quest não disse. Se foram capturados na reserva, antes da autorização, por quanto tempo foram mantidos, e em qual sistema e de que forma foram armazenados, não foi divulgado.
O FAQ da Quest diz que os registros afetados eram aqueles que seu prestador de serviços terceirizado havia deixado naquele ambiente, e que a investigação com o prestador está em andamento. Este site não está em posição de concluir, com base nessas informações, que alguém violou o PCI DSS.
Visão deste site: como hóspede, o que você pode fazer é limitar para onde vai o seu CVV
O motivo que o PCI SSC apresenta para proibir o armazenamento após a autorização é que códigos roubados podem ser combinados com outros dados roubados para reconstruir tanto o número do cartão quanto o código de verificação. Em outras palavras, o CVV é uma informação que normalmente deveria desaparecer assim que o pagamento é feito, e o fato de ele estar em registros de reserva é o que torna este incidente mais grave.
A medida realista para os hóspedes é reduzir as pessoas e os momentos em que você entrega um CVV:
- Não escreva dados do cartão em e-mails ou chats com um imóvel
- Sempre que possível, escolha opções em que o pagamento seja concluído na hora
- Use um único cartão para compras online, para que, quando surgir um aviso como este, a substituição se limite a um cartão
Para outro incidente com reservas de hospedagem neste ano, veja o acesso a dados de reservas da Booking.com.
Para empresas que lidam com dados de cartão
A própria explicação da Quest sobre a causa não vai além de "uma vulnerabilidade por meio de um prestador de serviços terceirizado". O que segue são orientações gerais para quem recebe dados de cartão para reservas ou serviços. Não é uma declaração sobre a causa deste incidente.
Descubra onde os CVVs permanecem, nos seus sistemas e nos dos seus prestadores
Não manter códigos de verificação de cartão após a autorização é um princípio que as FAQs do PCI SSC reiteram várias vezes. Verifique não apenas seu próprio banco de dados, mas os sistemas dos prestadores, dados antigos de reservas e cópias deixadas por migrações. Como mostra o relato da Quest, registros podem ficar no ambiente de um prestador.
Adote métodos de pagamento em que você nunca detenha dados de cartão
Se a digitação do cartão acontece inteiramente na página de um provedor de pagamento, nem números de cartão nem CVVs chegam ao seu lado, então não há dados de cartão do seu lado para vazar. Isso também reduz o escopo do seu PCI DSS.
Faça um inventário do que os prestadores guardam para você e defina prazos de exclusão
Os registros afetados da Quest eram anteriores a junho de 2025. Liste o que cada prestador guarda para você e até quando, e acorde, tanto em contrato quanto na operação, que os dados são excluídos quando o prazo expira. Os princípios estão reunidos em a linha de base mínima de segurança para organizações.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. O nome do prestador de serviços e os métodos de ataque não divulgados não são abordados.
- Quest Apartment Hotels, "Statement from Quest Apartment Hotels" (19 de agosto de 2026) — newshub.medianet.com.au
- Página de atualizações da Quest Apartment Hotels (declarações oficiais de 21 de agosto e 16 de setembro, declaração de 23 de setembro sobre passaporte e carteira de motorista, alerta de golpe de 25 de setembro, e o FAQ) — questapartments.com.au/update
- PCI Security Standards Council FAQ 1280, "Can card verification codes/values be stored for card-on-file or recurring transactions?" — pcisecuritystandards.org
- PCI SSC FAQ 1533, "Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?" — pcisecuritystandards.org
- Glossário do PCI SSC, "Sensitive Authentication Data" e "Cardholder Data" — SAD / CHD
- Office of the Australian Information Commissioner (OAIC), "Respond to a data breach notification" — oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / Australian Cyber Security Centre da ASD — cyber.gov.au
Histórico de atualizações
2026-09-30: Primeira versão, com base nas declarações e no FAQ da Quest Apartment Hotels de 19 de agosto a 25 de setembro de 2026, e em materiais públicos do PCI SSC, do OAIC e de outras fontes. A investigação da Quest continua; atualizaremos este texto se ela publicar mais informações.
Leia também
- Outro incidente com reservas de hospedagem: O acesso a dados de reservas da Booking.com
- O padrão de cartões: O que é PCI DSS?
- Números de identidade vazados em outros casos: Odido (Países Baixos: números de passaporte e carteira) / AssuranceAmerica (EUA: números de carteira de motorista) / Times Car (Japão: imagens de carteira)
- Golpes que seguem um vazamento: O que é phishing? / Dispositivos em viagem: Como proteger um laptop que você leva consigo
- Outros incidentes de 2026: Lista de vazamentos e ciberataques (Japão e mundo)