Утечка данных skyticket (Adventure Inc.) (около 14,64 млн записей): раскрыты пароли, банковские реквизиты для возврата и данные карт части пользователей. Что делать пользователям сегодня

В первом случае около 4,13 млн паролей для входа участников утекли в хешированном виде. Хеширование превращает пароль в форму, которую трудно обратить, но сама компания предупреждает, что пароли могут быть подобраны с помощью анализа и использованы для неправомерного входа (как работает хеширование: Что такое хеширование паролей?).

Компания просит участников сменить пароль. Сделайте это, войдя на официальный сайт или в приложение skyticket, а не по ссылке из письма. Компания сообщает, что её письма не содержат ссылок, по которым нужно вводить пароль.

Компания просит тех, кто использует тот же пароль где-то ещё, сменить его и там. Восстановленный пароль может быть опробован вместе с вашим адресом электронной почты на других сайтах.

Начните с аккаунтов, захват которых причинил бы самый большой вред: электронной почты, интернет-банка и сайтов для покупок. Если вы не уверены, где использовали пароль повторно, см. как проверить, не утекал ли ваш пароль и как выбрать менеджер паролей.

По состоянию на 17 октября в уведомлениях skyticket ничего не сказано о двухэтапной проверке. В других сервисах, пароли в которых вы меняете, включите её, если она предлагается (см. выбор многофакторной аутентификации).

Согласно второму уведомлению компании от 16 октября, номер карты, имя держателя и срок действия (у части людей только номер) до 6 140 человек, которые регистрировали или использовали кредитную карту для оплаты Premium-членства skyticket в этот период, утекли. Коды безопасности не входили в утечку.

Компания просит этих людей проверить выписки по карте начиная с октября 2026 года. Перевыпущенная карта может сохранить тот же номер, поэтому проверяйте и перевыпущенные карты. Если вы видите любое списание, которого не узнаёте, даже небольшое, свяжитесь с эмитентом карты по номеру на обороте карты. Если вы не уверены, стоит ли перевыпустить карту, можно спросить об этом у эмитента.

Компания сообщает, что напишет затронутым людям, чьи контакты она может подтвердить, с адреса info@skyticket.com, но не может отвечать на индивидуальные вопросы о том, затронут ли конкретный человек. Тем, чьи контакты компания не может подтвердить, служит уведомлением само второе уведомление. Если вы помните, что регистрировали или использовали карту для оплаты в этот период, проверьте выписки, не дожидаясь письма.

Второе уведомление сообщает, что идентификаторы участников, имена и пароли сервиса социальных выплат (которым управляет другая компания), предоставлявшегося как бонус Premium skyticket, также утекли. Они были зашифрованы, но информация, использованная для шифрования, также была получена, поэтому они могут быть читаемы.

Компания просит людей, которые всё ещё пользуются этим сервисом, сменить пароль, и сообщает, что объявит точный порядок после обсуждения с поставщиком сервиса. Если вы использовали тот же пароль в других сервисах, смените его и там.

Компания просит пользователей проверить историю бронирований в аккаунте и выписки по кредитным картам. Даже если вы не входите в описанную выше группу Premium, если кто-то войдёт в ваш аккаунт, сохранённая карта может быть использована для бронирования. Чтобы этого не допустить, компания приостановила оплату сохранёнными картами и сохранение карт примерно в 18:00 7 октября.

Сообщайте о неизвестных бронированиях в контакты компании, а о неизвестных списаниях — эмитенту карты. Компания сообщает, что 9 сентября подтвердила один неправомерный вход в аккаунт участника.

Компания предупреждает, что могут поступать письма, SMS, звонки и письма на бумаге от имени компании, банков, авиакомпаний, операторов автобусов, эмитентов карт или сервиса социальных выплат. Когда раскрыты имена, даты рождения, номера телефонов и адреса, такие сообщения могут выглядеть убедительно.

Компания сообщает, что в связи с этим инцидентом она никогда не будет требовать платежей. Любое сообщение с просьбой перевести деньги, оплатить сбор или установить приложение от имени возврата средств или компенсации считайте поддельным. Компания заявляет, что никогда не будет запрашивать номер карты, срок действия, код безопасности или пароль по электронной почте, SMS или телефону, и не попросит вводить данные карты по ссылке из письма. Не переходите по ссылкам и не звоните по номерам из такого сообщения; проверяйте через официальный сайт, который вы открываете сами (см. Что такое фишинг?).

Письма, которые компания рассылает с 8 октября, приходят с адреса info@skyticket.com, с четырьмя вариантами темы, которые начинаются с «【重要】不正アクセスによるお客様情報», а также имеют английскую строку вроде «[Important] Apology for Information Leak Due to Unauthorized Access». Компания сообщает, что письма с любого другого адреса или письма с просьбой ввести пароль могут быть поддельными.

Во втором случае реквизиты банковского счёта для возврата средств (название банка, отделение, тип счёта, номер счёта и имя владельца счёта) утекли или могли утечь. Компания сообщает, что одна только эта информация не позволяет сразу снять деньги.

Опасность в том, что контакт выдаёт себя за процедуру возврата средств, чтобы получить ваш PIN-код или логин и пароль для интернет-банка. Японская ассоциация банкиров (Japanese Bankers Association) сообщает, что никогда не запрашивает у клиентов PIN-коды или пароли, а Национальное полицейское агентство Японии (National Police Agency) сообщает, что сотрудники полиции никогда не запрашивают PIN-коды по телефону. То же относится к одноразовым паролям: не сообщайте их по телефону или в SMS.

Проверьте сберегательную книжку или банковское приложение на наличие операций, которых вы не узнаёте, и если найдёте такие, свяжитесь с банком. Мы не нашли официальных рекомендаций, согласно которым счёт нужно заменить только потому, что номер утёк. Если вы беспокоитесь, позвоните в свой банк по номеру на карте или с официального сайта банка.

В третьем случае страница завершения бронирования автобуса могла отображаться без входа в систему в период с 3 августа по 1 октября 2026 года. Просмотрены были дата и время поездки, пункты посадки и высадки, оператор, название рейса и номер бронирования оператора.

Компания предупреждает, что человек с такой информацией может выдать себя за компанию или оператора автобусов и попросить изменить или отменить бронирование либо доплатить. Проверить или отменить бронирование можно в любое время суток в разделе «予約確認» (подтверждение бронирования) в аккаунте. Если бронирование было изменено или отменено без вашего ведома, свяжитесь с компанией.

13 октября компания открыла отдельную телефонную линию, 03-5224-8859 (по будням с 10:00 до 18:00 по японскому времени, на японском языке). Контактный адрес электронной почты: info@skyticket.com (принимаются обращения круглосуточно, отвечают по очереди); для деловых партнёров и агентств указан отдельный адрес. По состоянию на 10 октября компания сообщала, что обращений очень много, дозвониться по телефону трудно и ответы на письма задерживаются. Проверьте номер в официальном уведомлении, которое вы открываете сами, а не в письме или SMS, которые вы получили. Пока вы ждёте ответа, сделайте то, что можете сделать сами, например смените пароль.

Компания сообщает, что страница завершения бронирования третьего случая могла отображаться без входа в систему и просматривалась третьей стороной в автоматическом режиме в этот период (с 3 августа по 1 октября). Страницы завершения и страницы, ссылки на которые приходят в письмах с подтверждением, собирают имена, контактные данные и номера бронирований в одном месте.

Проверьте, подтверждает ли страница, кто смотрит. Требуйте вход в систему или, если страница должна работать без входа, добавьте в URL длинную непредсказуемую строку и задайте срок её действия. В общем случае, если изменение номера в URL показывает чужое бронирование, это классическая уязвимость, называемая IDOR (справочно: Аутентификация и авторизация).

«Просмотр в автоматическом режиме» означает гораздо больше запросов, чем сделал бы человек. Для страницы, например завершения бронирования, которую один человек редко открывает многократно, ограничьте число просмотров с одного источника и оповещайте ответственного сотрудника, когда лимит достигнут.

Измерять можно в приложении или перед ним, на веб-сервере или CDN (сети доставки контента). Как начать, описано в Ограничение частоты запросов и защита от злоупотреблений.

После утечки хешей паролей компания приостановила оплату сохранёнными картами. Если захваченный аккаунт может платить сохранённой картой, мошеннические покупки возможны даже тогда, когда номер карты не утёк.

Заранее проверьте, может ли ваш сайт сам отключить оплату сохранёнными картами или требовать аутентификацию эмитента карты (3-D Secure) при каждом платеже. Если такого переключателя нет, вы будете создавать его в день инцидента.

Компания сообщает, что в июле 2018 года перешла на способ, при котором не хранит данные карт, и удалила данные карт тогда, но записи о платежах (логи) за членство остались и были получены на этот раз.

В общем случае при миграции перечислите все места, куда записывались те же данные, а не только основную базу: логи, резервные копии, экспортированные файлы и старые серверы. Убедитесь, что каждое очищено, и ведите запись об этом. Компания сообщает, что информация, использованная для шифрования, также была получена, поэтому данные могут быть читаемы, но не сказала, где эта информация хранилась. Как общее правило: если вы храните данные в зашифрованном виде, не храните ключ расшифровки в том же месте, что и данные. Если получены оба, шифрование не даёт защиты.

Второй случай касался реквизитов банковских счетов для возврата, хранившихся в системе управления бизнесом. Возврат средств часто бывает разовой операцией, поэтому определите, как долго хранить банковские реквизиты после завершения возврата, и удаляйте их автоматически по истечении этого срока. Данные, которых у вас нет, не могут утечь.