skyticket（Adventure Inc.）数据泄露（约1464万条记录）：密码、退款银行账户信息及部分用户的卡信息外泄——用户今天应该做什么

在第一起事件中，约413万条会员登录密码以哈希形式泄露。哈希处理可将密码转换为难以还原的形式，但公司本身警告，密码可能通过分析被破解，并被用于未经授权的登录（关于哈希处理的原理：什么是密码哈希？）。

公司要求会员修改密码。请登录官方skyticket网站或应用程序进行修改，不要通过电子邮件中的链接。公司表示，其邮件中不包含要求输入密码的链接。

公司要求在其他地方使用相同密码的人也一并修改。被破解的密码可能会与您的电子邮件地址一起在其他网站上被尝试使用。

请优先处理那些一旦被接管后损失最大的账户：电子邮件、网上银行和购物网站。如果您不确定自己在哪些地方重复使用过该密码，请参阅如何检查密码是否泄露和如何选择密码管理器。

截至10月17日，skyticket的通知未提及两步验证。在您修改密码的其他服务上，如果提供两步验证，请开启（参见如何选择多因素认证）。

根据公司10月16日的第二份通知，在此期间注册或使用信用卡支付skyticket Premium会员费的最多6,140人，其卡号、持卡人姓名和有效期（部分人仅为卡号）已泄露。安全码未包含在内。

公司请这些人检查该卡2026年10月起的账单。换发的卡可能保留相同卡号，因此也请检查换发的卡。如果您发现任何不认识的扣款，即使金额很小，也请使用卡背面的号码联系发卡机构。如果您不确定是否需要补办卡，也可以咨询发卡机构。

公司表示，将通过info@skyticket.com向其能够确认联系方式的受影响者发送邮件，但无法回答关于个人是否受影响的个别询问。对于无法确认联系方式的人，第二份通知本身即具有告知效力。如果您记得在此期间注册或使用卡支付过该会员费，请不要等待邮件，直接检查账单。

第二份通知称，作为skyticket Premium会员福利提供的福利服务（由另一家公司运营）的会员ID、姓名和密码也已泄露。这些信息已加密，但用于加密的信息也被获取，因此可能被解读。

公司请仍在使用该服务的人修改其密码，并表示将在与服务提供商协商后公布具体流程。如果您在其他服务上使用过相同密码，也请在那些服务上一并修改。

公司请用户检查账户中的预订记录和信用卡账单。即使您不属于上述Premium会员群体，如果有人登录您的账户，已保存的卡可能被用于预订。为防止这种情况，公司于10月7日约下午6点暂停了使用已保存卡付款及保存卡信息的功能。

如有不明预订，请向公司联系方式报告；如有不明扣款，请向发卡机构报告。公司表示，已于9月9日确认了一次会员账户的未授权登录。

公司警告，可能会收到冒充公司、银行、航空公司、巴士运营商、发卡机构或福利服务的电子邮件、短信、电话和信件。由于姓名、出生日期、电话号码和地址已泄露，此类信息可能看起来非常可信。

公司表示，将绝不会因本次事件索要任何款项。凡以退款或赔偿名义要求转账、支付费用或安装应用程序的信息，均应视为欺诈。公司表示，绝不会通过电子邮件、短信或电话索要卡号、有效期、安全码或密码，也不会要求您通过邮件中的链接输入卡信息。请勿使用其中的链接或电话号码；请通过您自行打开的官方网站核实（参见什么是网络钓鱼？）。

自10月8日起，公司发出的邮件来自info@skyticket.com，共有四种主题变体，均以“【重要】不正アクセスによるお客様情報”开头，并附有英文标题如“[Important] Apology for Information Leak Due to Unauthorized Access”。公司表示，来自其他地址的邮件，或要求您输入密码的邮件，可能是伪造的。

在第二起事件中，退款银行信息（银行名称、分行、账户类型、账号及账户持有人姓名）已泄露或可能已泄露。公司表示，仅凭这些信息无法让他人立即提取资金。

真正的危险在于，有人假冒退款流程，以获取您的PIN或网上银行账号及密码。全国银行协会表示，其从不向客户索取PIN或密码；日本警察厅表示，警察从不通过电话索要PIN。一次性密码也同样如此：请勿通过电话或短信提供。

请检查您的存折或银行应用程序中是否有不认识的交易，如有发现，请联系您的银行。我们未找到官方指引表明仅因账号泄露就必须更换账户。如果您感到担心，请使用卡上的号码或银行官方网站上的号码致电银行。

在第三起事件中，巴士预订完成页面在2026年8月3日至10月1日期间无需登录即可显示。出发日期和时间、上下车地点、运营商、服务名称以及运营商的预订编号均属于被查看的内容。

公司警告，掌握这些信息的人可能会冒充公司或巴士运营商，要求您变更或取消预订，或支付额外费用。您可以在账户的“予約確認”（预订确认）下，全天24小时查看或取消预订。如果预订在您不知情的情况下被变更或取消，请联系公司。

10月13日，公司开通了专门的咨询电话03-5224-8859（工作日日本时间上午10点至下午6点，仅限日语）。电子邮件联系方式为info@skyticket.com（24小时接收，依次回复）；合作伙伴及代理商另有单独邮箱。截至10月10日，公司表示咨询量非常大，电话难以接通，邮件回复也有延迟。请通过您自行打开的官方通知确认电话号码，而不要使用收到的邮件或短信中的号码。在等待期间，请先做力所能及的事情，例如修改密码。

公司表示，第三起事件中，预订完成页面在该期间（8月3日至10月1日）无需登录即可显示，并被第三方以自动化方式查看。预订完成页面及确认邮件中的链接页面会将姓名、联系方式和预订编号集中在一处。

请检查该页面是否验证查看者身份。应要求登录；如果必须无需登录即可访问，则应在URL中使用足够长且不可猜测的字符串，并设置有效期。一般而言，如果修改URL中的数字即可显示他人的预订，这就是典型的IDOR（不安全的直接对象引用）缺陷（背景知识：认证与授权）。

“以自动化方式查看”意味着请求数量远超正常用户的访问量。对于像预订完成页面这样，一个人很少需要反复打开的页面，应限制每个来源的查看次数，并在达到上限时通知相关人员。

您可以在应用程序内部或其前端（Web服务器或CDN，即内容分发网络）进行测量。入门方法可参阅速率限制与滥用控制。

在密码哈希泄露后，公司暂停了已保存卡付款。如果被劫持的账户可以使用已保存的卡付款，即使卡号未泄露，也会发生欺诈性消费。

请预先确认您的网站能否自行关闭已保存卡付款，或在每笔付款时要求发卡机构进行验证（3-D Secure）。如果没有关闭开关，您将在事件发生当天临时开发一个。

公司表示，其于2018年7月转而采用不持有卡信息的方式，并当时删除了卡信息，但会费的付款记录（日志）仍然保留，并在本次事件中被获取。

一般而言，迁移时应列出同一数据被写入的所有位置，而不仅是主数据库：日志、备份、导出文件和旧服务器。确认每一处都已清除，并保留记录。公司表示，用于加密的信息也被获取，因此数据可能被解读，但并未说明该信息存放在何处。总体而言，如果您对数据进行了加密，请不要将解密密钥与数据存放在同一位置。如果两者同时被获取，加密将不再提供保护。

第二起事件涉及保存在业务管理系统中的退款银行信息。退款通常是一次性流程，因此应决定退款完成后保存银行信息的期限，并在期限届满时自动删除。您不再持有的数据无法被泄露。