Для кого: для всех, кто останавливался в отелях Quest Apartment Hotels (включая деловых путешественников и туристов, приезжающих в Австралию из других стран), и для всех, кто обрабатывает данные карт при бронировании или оказании услуг. Статья основана на официальных заявлениях Quest Apartment Hotels и открытых материалах австралийских ведомств и PCI Security Standards Council. Способы атаки в ней не рассматриваются.
Что гостям делать сегодня
Найдите уведомление и проверьте домен и номер отправителя
Quest сообщает, что направила письма затронутым людям напрямую, а тем, у кого нет адреса электронной почты в базе, пишет по SMS или отправляет письма по почте. В уведомлении указано, какие ваши данные затронуты. Проверьте папку «Спам».
По словам Quest, подлинные письма приходят с домена, оканчивающегося на questapartments.com.au, а SMS об инциденте приходят с номеров +61 485 095 177 или +61 468 153 778. Смотрите на реальный адрес отправителя, а не только на отображаемое имя.
Если затронута карта с CVV, спросите банк о перевыпуске
Quest советует проверять выписки и обращаться в банк, чтобы сообщить об утечке. Этот сайт рекомендует сделать ещё один шаг: для неистёкших карт спросите о перевыпуске карты с новым номером. Номер карты, срок действия и CVV вместе могут использоваться для онлайн-покупок.
Если карта выпущена вне Австралии, звоните по номеру на обратной стороне карты. Если затронут только номер карты без CVV, продолжайте регулярно проверять выписки.
Не переходите по ссылкам «подтвердить бронирование» в сообщениях WhatsApp и письмах
25 сентября Quest предупредила о письмах и сообщениях WhatsApp, которые выдают себя за Quest и просят клиентов подтвердить предстоящее бронирование, перейдя по ссылке. Не переходите по ней, не звоните по номеру из сообщения и свяжитесь с отелем напрямую по контактам на сайте Quest. Quest заявляет, что никогда не будет запрашивать пароли или данные карт по SMS (см. что такое фишинг?).
Номера паспортов: не спешите менять, проверьте рекомендации ведомства
Со ссылкой на Паспортное управление Австралии Quest сообщает, что если номер вашего австралийского паспорта был скомпрометирован, паспорт по-прежнему безопасен для международных поездок, а по номеру паспорта нельзя получить новый паспорт. Утёк только номер, а не изображение паспорта.
Этот совет относится к австралийским паспортам. Если у вас паспорт другой страны, следуйте общим рекомендациям OAIC для раскрытых документов, удостоверяющих личность, и обращайтесь в выдавшее паспорт ведомство.
Австралийское водительское удостоверение, Medicare или NDIS: свяжитесь с каждым ведомством
В FAQ Quest предлагается обратиться в следующие организации, чтобы при необходимости выпустили новый номер:
- Водительское удостоверение: дорожное ведомство вашего штата или территории
- Номер Medicare: Справочная служба Services Australia по мошенничеству и краже личности (1800 941 126)
- Номер NDIS: Горячая линия по сообщениям о мошенничестве NDIS (1800 650 717)
Если у вас есть кредитная история в Австралии, рассмотрите запрет на выдачу кредитного отчёта
В FAQ Quest предлагается рассмотреть запрет на выдачу кредитного отчёта, при котором бюро кредитных историй не могут передавать вашу кредитную историю кредиторам без вашего письменного согласия (там описано, как его запросить в Equifax и Experian).
OAIC также рекомендует запрашивать кредитные отчёты, когда раскрыта финансовая информация. Для посетителей, у которых нет австралийской кредитной истории, этот шаг почти ничего не меняет.
Нужна помощь? IDCARE, Scamwatch, cyber.gov.au
IDCARE — национальная служба помощи в вопросах личности и кибербезопасности Австралии; она оценивает вашу ситуацию и составляет индивидуальный план действий (для частных лиц: 1800 595 160). Scamwatch занимается мошенничеством и его регистрацией; cyber.gov.au — киберинцидентами. В FAQ Quest также упоминаются Scamwatch и cyber.gov.au.
① Номер карты + CVV (46 727)
→ Позвоните в банк, спросите о перевыпуске, продолжайте проверять выписки
② Только номер карты (297 739)
→ Сообщите в банк, регулярно проверяйте выписки
③ Номер паспорта / водительского удостоверения (104 268)
→ Следуйте рекомендациям ведомства; с подозрением относитесь к контактам, которые называют ваш номер
④ Только имя и контактные данные (большинство)
→ Не переходите по ссылкам из сообщений «подтвердите бронирование»
В любом случае: по данным Quest, отсканированные паспорта и документы, удостоверяющие личность, не затронуты
Что произошло (из заявлений Quest Apartment Hotels)
Всё, что изложено ниже, взято из официальных заявлений Quest (19 августа, 21 августа, 16 сентября, 23 сентября и 25 сентября) и её FAQ.
17 августа 2026
Quest выявила сбой веб-сайта; расследование подтвердило, что злоумышленник использовал уязвимость в программном обеспечении стороннего поставщика услуг и получил доступ к среде Quest. Инцидент локализован.19 августа
Первое заявление: записи до июня 2025 года, в основном имена, адреса электронной почты и другие контактные данные.21 августа
Quest сообщает, что для подавляющего большинства информация ограничивалась именем и контактными данными, и что она уведомила OAIC, Австралийское управление сигнальной разведки (ASD), Австралийский центр кибербезопасности (ACSC) и полицию штата Виктория и работает с ними.16 сентября
Завершён анализ данных: затронуто примерно 1 991 613 клиентов, с разбивкой по категориям, включая номера карт с CVV.23 сентября
Разъяснения о номерах паспортов и водительских удостоверений; опубликован FAQ.25 сентября
Предупреждение о сообщениях WhatsApp и письмах, которые выдают себя за Quest.
| Категория (обновление Quest от 16 сентября) | Записи |
|---|---|
| Регистрационный номер автомобиля | 225 300 |
| Номер паспорта и/или водительского удостоверения (только номер, без сканов документов) | 104 268 |
| Номер кредитной карты (без CVV, включая истёкшие карты) | 297 739 |
| Номер кредитной карты с CVV (включая истёкшие карты) | 46 727 |
| Дата рождения | 3 328 |
| Номер NDIS (только номер) | 271 |
| Номер карты Medicare (только номер) | 46 |
- Масштаб
- Примерно 1 991 613 клиентов. Записи до июня 2025 года
- Общее для затронутых людей
- Некоторое сочетание имени, адреса, номера телефона и адреса электронной почты (в FAQ также упоминаются данные бронирования и личные предпочтения)
- У некоторых людей
- Как указано в таблице выше. Не каждая категория относится к каждому человеку
- Причина (по версии Quest)
- Злоумышленник использовал уязвимость в программном обеспечении стороннего поставщика услуг и получил доступ к среде Quest. Подробности уязвимости не раскрыты
- Реакция Quest
- Инцидент локализован, устранение последствий завершено; расследование проводилось с привлечением внешних юристов и специалистов по криминалистическому анализу данных; усилены меры безопасности; стороннему поставщику предписано устранить уязвимость в затронутой среде и добавить меры защиты
- Ведомства
- Уведомлены, сотрудничают с OAIC, ASD, ACSC и полицией штата Виктория
Как это понимать: «в основном имена и контактные данные» — вывод, который изменился
В августе Quest сообщала, что у подавляющего большинства затронутых людей были задействованы только имя и контактные данные. Примерно через месяц, когда анализ был завершён, она опубликовала данные с разбивкой, включающей номера карт с CVV и номера паспортов.
Действительно, у большинства людей затронуты только имя и контактные данные, но если вы прочитали первое заявление и решили, что это вас не касается, проверьте наличие уведомления ещё раз. Quest сообщает, что уведомления рассылаются поэтапно по мере проверки данных каждого человека.
Почему CVV оказались в записях отеля? Что говорит PCI DSS
3- или 4-значный код верификации карты (CVV), напечатанный на карте, получает особый статус в отраслевом стандарте безопасности платёжных карт PCI DSS. По открытым материалам PCI Security Standards Council (PCI SSC), который поддерживает стандарт:
- Коды верификации карт относятся к чувствительным аутентификационным данным (SAD) наряду с полными данными магнитной полосы (дорожкой) и PIN-кодами.
- Чувствительные аутентификационные данные нельзя хранить после авторизации, даже в зашифрованном виде; это относится и к средам, где номера карт отсутствуют.
- Хранение кодов верификации карт после авторизации не допускается даже с разрешения клиента и даже для операций с сохранённой картой или регулярных платежей. Исключение составляют эмитенты и компании, поддерживающие услуги выпуска карт, при наличии законной деловой необходимости.
- PCI DSS не запрещает собирать код до авторизации платежа.
Может храниться после авторизации (действуют требования защиты)
- Номер карты (PAN)
- Имя держателя карты
- Срок действия
- Сервисный код
Не хранится после авторизации (чувствительные аутентификационные данные)
- Коды верификации карт (CVV и т. п.)
- Полные данные дорожки (магнитной полосы или их аналог в чипе)
- PIN-коды и PIN-блоки
Итак, откуда взялись 46 727 CVV в записях Quest? Quest не сообщила. Не раскрыто, были ли они получены при бронировании до авторизации, как долго хранились, в какой системе и как именно.
В FAQ Quest сказано, что затронутые записи были оставлены сторонним поставщиком услуг в этой среде и что она продолжает расследование вместе с поставщиком. Этот сайт не может на основании этих сведений заключить, что кто-либо нарушил PCI DSS.
Позиция этого сайта: как гость, вы можете ограничить то, куда попадает ваш CVV
Причина, по которой PCI SSC запрещает хранение после авторизации, состоит в том, что украденные коды можно сопоставить с другими украденными данными и восстановить и номер карты, и код верификации. Иными словами, CVV — это информация, которая обычно должна исчезать после оплаты, и то, что он находился в записях бронирования, и делает этот инцидент более серьёзным.
Реальный шаг для гостей — сократить число людей и случаев, когда вы передаёте CVV:
- Не пишите данные карты в письмах или чатах с отелем
- Где возможно, выбирайте варианты, при которых оплата проводится сразу на месте
- Используйте одну карту для онлайн-покупок, чтобы при таком уведомлении перевыпуск касался только одной карты
О другом инциденте в сфере бронирования жилья в этом году см. доступ к данным бронирований Booking.com.
Для компаний, которые обрабатывают данные карт
В заявлении Quest о причине сказано лишь «уязвимость через стороннего поставщика услуг». Ниже приводятся общие рекомендации для всех, кто принимает данные карт для бронирований или услуг. Это не утверждение о причине данного инцидента.
Выясните, где сохраняются CVV: в ваших системах и у ваших поставщиков
Правило не хранить коды верификации карт после авторизации неоднократно подчёркивается в FAQ PCI SSC. Проверяйте не только свою базу данных, но и системы поставщиков, старые данные бронирований и копии, оставшиеся после миграций. Как показывает заявление Quest, записи могут находиться в среде поставщика.
Переходите к способам оплаты, при которых вы никогда не работаете с данными карт
Если ввод данных карты полностью происходит на странице платёжного провайдера, ни номера карт, ни CVV не попадают на вашу сторону, поэтому утекать на вашей стороне нечему. Это также сокращает объём требований PCI DSS, которые на вас распространяются.
Составьте перечень данных, которые у вас хранят поставщики, и установите сроки удаления
Затронутые записи Quest относились к периоду до июня 2025 года. Составьте список того, что для вас хранит каждый поставщик и до какого срока, и согласуйте в договоре и на практике, что данные удаляются по истечении срока. Принципы изложены в минимальном базовом уровне безопасности для организаций.
Источники (открытые материалы)
Факты в этой статье основаны на следующей открытой информации. Название поставщика услуг и нераскрытые способы атаки не рассматриваются.
- Quest Apartment Hotels, «Statement from Quest Apartment Hotels» (19 августа 2026) — newshub.medianet.com.au
- Страница обновлений Quest Apartment Hotels (официальные заявления от 21 августа и 16 сентября, заявление о паспортах и водительских удостоверениях от 23 сентября, предупреждение о мошенничестве от 25 сентября и FAQ) — questapartments.com.au/update
- PCI Security Standards Council FAQ 1280, «Can card verification codes/values be stored for card-on-file or recurring transactions?» — pcisecuritystandards.org
- PCI SSC FAQ 1533, «Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?» — pcisecuritystandards.org
- Глоссарий PCI SSC, «Sensitive Authentication Data» и «Cardholder Data» — SAD / CHD
- Office of the Australian Information Commissioner (OAIC), «Respond to a data breach notification» — oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / Австралийский центр кибербезопасности ASD — cyber.gov.au
История обновлений
2026-09-30: первая версия, основанная на заявлениях и FAQ Quest Apartment Hotels с 19 августа по 25 сентября 2026 года и на открытых материалах PCI SSC, OAIC и других источников. Расследование Quest продолжается; если компания опубликует дополнительные сведения, мы обновим статью.
Читайте дальше
- Другой инцидент в сфере бронирования жилья: Доступ к данным бронирований Booking.com
- Стандарт для карт: Что такое PCI DSS?
- Утечки номеров документов в других случаях: Odido (Нидерланды: номера паспортов и водительских удостоверений) / AssuranceAmerica (США: номера водительских удостоверений) / Times Car (Япония: изображения водительских удостоверений)
- Мошенничество после утечек: Что такое фишинг? / Устройства в дороге: Защита ноутбука, который вы берёте с собой
- Другие инциденты 2026 года: Список утечек и кибератак (Япония и весь мир)