适用对象：曾入住Quest Apartment Hotels任何一处物业的人（包括到访澳大利亚的海外商务和休闲旅客），以及负责预订或服务相关卡数据处理的人。本文基于Quest Apartment Hotels的官方声明，以及澳大利亚相关机构和PCI安全标准委员会的公开资料。本文不涉及攻击手法。
住客今天应该做什么
查看通知，并核对发件域名和号码
Quest表示，已直接向受影响的人发送电子邮件，并对没有登记电子邮件地址的人使用短信或邮寄方式联系。通知会告诉您哪些信息受到影响。请检查垃圾邮件文件夹。
据Quest称，真实邮件来自以questapartments.com.au结尾的域名，有关事件的短信来自+61 485 095 177或+61 468 153 778。请查看实际的发件地址，而不只是显示的发件人名称。
如果带CVV的卡受到影响，请向发卡行咨询补发
Quest建议您检查对账单，并联系银行报告此次泄露。本站建议更进一步：对于未过期的卡，请咨询更换一个新卡号的卡。卡号、有效期和CVV组合在一起即可用于网上购物。
如果您的卡是在澳大利亚境外发行的，请拨打卡背面的电话。如果只有不带CVV的卡号受到影响，请继续定期检查对账单。
不要点击WhatsApp消息或电子邮件中的“确认预订”链接
9月25日，Quest警告称，有人冒充Quest发送电子邮件和WhatsApp消息，要求客户点击链接确认即将到来的预订。请不要点击链接，也不要拨打消息中的电话，并使用Quest网站上的信息直接联系酒店。Quest表示，它绝不会通过短信索要密码或卡信息（参见什么是网络钓鱼？）。
护照号码：不必急于更换，请查看发证机构的建议
Quest援引澳大利亚护照办公室的说法称，如果您的澳大利亚护照号码遭到泄露，护照仍可安全用于国际旅行，并且护照号码无法用于办理新护照。泄露的只是号码，不是护照的图像。
上述建议针对澳大利亚护照。如果您持有其他国家的护照，请遵循OAIC关于证件泄露的一般建议，并联系签发机构。
澳大利亚驾照、Medicare或NDIS号码：请联系相关机构
Quest的常见问题解答建议您联系以下机构，以便在需要时补发号码：
- 驾照：您所在州或领地的道路管理机构
- Medicare号码：Services Australia的诈骗和身份盗用求助热线（1800 941 126）
- NDIS号码：NDIS欺诈举报和诈骗求助热线（1800 650 717）
如果您在澳大利亚有信贷记录，可考虑信用报告冻结
Quest的常见问题解答建议考虑信用报告冻结，即信用报告机构在未经您书面同意的情况下，不得向信贷机构披露您的信用档案（其中列明了如何向Equifax和Experian申请）。
OAIC也建议，在财务信息泄露时获取您的信用报告。对于没有澳大利亚信用档案的访客而言，这一步的作用不大。
需要帮助？IDCARE、Scamwatch、cyber.gov.au
IDCARE是澳大利亚的全国性身份和网络支持服务机构，会评估您的情况并制定量身定制的应对方案（个人咨询电话：1800 595 160）。Scamwatch负责诈骗及其举报事宜；cyber.gov.au负责网络安全事件。Quest的常见问题解答也提到了Scamwatch和cyber.gov.au。
① 卡号 + CVV（46,727）
→ 致电发卡行，咨询补发，继续检查对账单
② 仅卡号（297,739）
→ 告知银行，定期检查对账单
③ 护照 / 驾照号码（104,268）
→ 查看签发机构的建议；对引用您号码的联系人保持怀疑
④ 仅姓名和联系方式（大多数人）
→ 不要点击“确认预订”消息中的链接
在所有情况下：据Quest称，没有受影响的扫描护照或证件文件
事件经过（来自Quest Apartment Hotels的声明）
以下内容均取自Quest的官方声明（8月19日、8月21日、9月16日、9月23日和9月25日）及其常见问题解答。
2026年8月17日
Quest发现网站故障；调查确认，某威胁行为者利用了第三方服务提供商软件中的一个漏洞，并进入了Quest的环境。该事件已被控制。8月19日
首次声明：2025年6月之前的记录，主要为姓名、电子邮件地址和其他联系方式。8月21日
Quest表示，绝大多数情况下信息仅限于姓名和联系方式，并称已通知OAIC、澳大利亚信号局（ASD）、澳大利亚网络安全中心（ACSC）和维多利亚州警察，并正在与其合作。9月16日
取证数据分析完成：约1,991,613名客户受到影响，并按类别列出了数量，包括带CVV的卡号。9月23日
发布关于护照和驾照号码的指引；常见问题解答发布。9月25日
发出关于冒充Quest的WhatsApp消息和电子邮件的警告。
| 类别（Quest 9月16日更新） | 记录数 |
|---|---|
| 车辆登记号码 | 225,300 |
| 护照和/或驾照号码（仅号码，不含扫描的证件文件） | 104,268 |
| 信用卡号（不含CVV，包括已过期的卡） | 297,739 |
| 带CVV的信用卡号（包括已过期的卡） | 46,727 |
| 出生日期 | 3,328 |
| NDIS号码（仅号码） | 271 |
| Medicare卡号（仅号码） | 46 |
- 范围
- 约1,991,613名客户。2025年6月之前的记录
- 受影响人员的共同信息
- 姓名、地址、电话号码和电子邮件地址的某些组合（常见问题解答还提到了预订信息和个人偏好）
- 部分人员
- 见上表。并非每个类别都适用于每个人
- 原因（Quest的说法）
- 某威胁行为者利用了第三方服务提供商软件中的一个漏洞，并进入了Quest的环境。该漏洞的细节尚未披露
- Quest的应对
- 已控制事件并完成修复；与外部法律顾问及取证数据分析专家共同调查；加强了安全控制；要求第三方服务提供商修复受影响环境并增加安全措施
- 相关机构
- 已通知OAIC、ASD、ACSC和维多利亚州警察，并与其合作
如何理解：“主要是姓名和联系方式”的说法有所变化
8月，Quest表示，绝大多数受影响者仅涉及姓名和联系方式。约一个月后，在分析完成后，它公布的数据包括带CVV的卡号和护照号码。
大多数人仅涉及姓名和联系方式这一点仍然属实，但如果您看了第一份声明后认为与自己无关，请再次检查是否有通知。Quest表示，随着逐一核实每个人的信息，通知正在分批发出。
为何酒店的记录中会有CVV？PCI DSS的规定
印在卡上的3位或4位卡验证码（CVV）在卡行业安全标准PCI DSS中受到特别对待。根据维护该标准的PCI安全标准委员会（PCI SSC）的公开资料：
- 卡验证码被归类为敏感认证数据（SAD），与完整磁条（磁道）数据和PIN一起归入此类。
- 敏感认证数据在授权后不得存储，即使已加密，即便在环境中不存在卡号的情况下，这一规定也同样适用。
- 即使获得客户同意，或用于卡上存档或定期扣款交易，授权后保留卡验证码也是不允许的。例外情况仅限于有合法业务需要的发卡机构及支持发卡服务的公司。
- PCI DSS并不禁止在交易获得授权之前收集该码。
授权后可以存储（须符合保护要求）
- 卡号（PAN）
- 持卡人姓名
- 有效期
- 服务代码
授权后不得存储（敏感认证数据）
- 卡验证码（CVV等）
- 完整磁道数据（磁条或芯片等效数据）
- PIN和PIN块
那么，Quest记录中的46,727个CVV是怎么回事？Quest尚未说明。关于它们是否在授权前于预订时收集、保存了多长时间、存放在哪个系统以及如何存储，均未披露。
Quest的常见问题解答称，受影响的记录是其第三方服务提供商留在该环境中的记录，并且正在与该提供商共同推进调查。本站无法仅凭这些信息得出任何人违反PCI DSS的结论。
本站观点：作为住客，您能做的是限制CVV的去向
PCI SSC禁止授权后存储的理由是，被盗的码可以与其他被盗数据相关联，从而重建卡号和验证码。换言之，CVV通常应在付款完成后就不再存在，而它竟然存在于预订记录中，正是此次事件更为严重之处。
住客切实可行的做法是减少您向他人提供CVV的人员和场合：
- 不要在与物业的电子邮件或聊天中写入卡信息
- 在可能的情况下，选择能够当场完成付款的方式
- 网上消费只使用一张卡，这样当收到此类通知时，需要补发的卡也仅限于一张
关于今年另一起住宿预订事件，参见Booking.com预订数据访问事件。
面向处理卡数据的企业
Quest对原因的说明仅限于“第三方服务提供商的一个漏洞”。以下是针对任何为预订或服务收取卡信息的企业的一般性指引，并非对本次事件原因的说明。
查明CVV在哪些地方残留，包括您自己的系统和服务商的系统
不在授权后保留卡验证码，是PCI SSC的常见问题解答中反复强调的原则。请不要只检查自己的数据库，还要检查服务商的系统、旧的预订数据以及迁移后留下的副本。正如Quest的说明所示，记录可能留存在服务提供商的环境中。
转向您从不持有卡数据的支付方式
如果卡信息的录入完全在支付服务商的页面上完成，卡号和CVV就不会经过您的系统，因此您这一端就没有可能泄露的卡数据。这也能缩小您的PCI DSS适用范围。
盘点服务商代您持有的数据，并设定删除期限
Quest受影响的记录来自2025年6月之前。请列出每个服务商代您持有哪些数据、持有至何时，并在合同和运营中约定期限届满时予以删除。相关原则参见组织最低安全基线。
信息来源（公开记录）
本文所述事实基于以下公开信息。服务提供商的名称及未披露的攻击手法均不在本文讨论范围内。
- Quest Apartment Hotels，《Statement from Quest Apartment Hotels》（2026年8月19日）— newshub.medianet.com.au
- Quest Apartment Hotels更新页面（8月21日和9月16日的官方声明、9月23日关于护照和驾照的声明、9月25日的诈骗警告及常见问题解答）— questapartments.com.au/update
- PCI安全标准委员会FAQ 1280，《Can card verification codes/values be stored for card-on-file or recurring transactions?》— pcisecuritystandards.org
- PCI SSC FAQ 1533，《Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?》— pcisecuritystandards.org
- PCI SSC术语表，《Sensitive Authentication Data》和《Cardholder Data》— SAD / CHD
- 澳大利亚信息专员办公室（OAIC），《Respond to a data breach notification》— oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / ASD下属的澳大利亚网络安全中心 — cyber.gov.au
更新记录
2026-09-30：首次发布，依据Quest Apartment Hotels 2026年8月19日至9月25日的声明和常见问题解答，以及PCI SSC、OAIC等机构的公开资料。Quest的调查仍在进行中；如其发布更多信息，我们将予以更新。
延伸阅读
- 另一起住宿预订事件：Booking.com预订数据访问事件
- 卡行业标准：什么是PCI DSS？
- 其他地方泄露的证件号码：Odido（荷兰：护照和驾照号码） / AssuranceAmerica（美国：驾照号码） / Times Car（日本：驾照图像）
- 数据泄露后常见的诈骗：什么是网络钓鱼？ / 出行设备安全：随身携带笔记本电脑的安全防护
- 其他2026年事件：数据泄露和网络攻击列表（日本及全球）