適用對象：曾入住 Quest Apartment Hotels 任何據點的人（包括到澳洲出差或旅遊的海外旅客），以及負責處理訂房或服務相關卡片資料的人。本文依據 Quest Apartment Hotels 的官方聲明，以及澳洲政府機構與 PCI 安全標準委員會的公開資料撰寫，不涵蓋攻擊手法。
住客今天該做什麼
確認通知，並檢查寄件網域與號碼
Quest 表示已直接寄信給受影響的人，對於檔案中沒有電子郵件地址的人，則使用簡訊或郵寄。通知會告訴你哪些資料受到影響。請檢查你的垃圾郵件資料夾。
依 Quest 的說法，正版電子郵件來自網域結尾為 questapartments.com.au 的信箱，事件相關簡訊則來自 +61 485 095 177 或 +61 468 153 778。請查看實際的寄件地址，不要只看顯示的名稱。
若附 CVV 的卡片受到影響，向發卡銀行詢問是否補發
Quest 建議檢查帳單，並聯絡銀行通報此次外洩。本站建議再多走一步：對於尚未過期的卡片，詢問是否補發新卡號的卡片。卡號、有效期限與 CVV 合在一起就可能用於網路消費。
若卡片是在澳洲以外發行的，請撥打卡背面的電話。若只有不含 CVV 的卡號受到影響，請繼續定期檢查帳單。
不要點擊 WhatsApp 訊息或電子郵件中的「確認訂房」連結
9 月 25 日，Quest 警告有人冒用 Quest 名義寄送電子郵件與 WhatsApp 訊息，要求客戶點擊連結確認即將到來的訂房。請不要點擊，也不要撥打訊息中的電話，並使用 Quest 網站上的資訊直接聯絡飯店。Quest 表示，它絕不會透過簡訊要求密碼或卡片資料（參見什麼是網路釣魚？）。
護照號碼：不必急著換，請參考發證機關的建議
Quest 引述澳洲護照辦公室的說法，表示如果你的澳洲護照號碼遭到洩露，護照仍可安全用於國際旅行，而且護照號碼無法用來申請新護照。外洩的只有號碼，不是護照的影像。
此建議針對澳洲護照。若你持有其他國家的護照，請依照 OAIC 對於身分證件外洩的一般建議，並聯絡發證機關。
澳洲駕照、Medicare 或 NDIS 號碼：聯絡各相關機構
Quest 的常見問題頁面建議聯絡以下單位，以便在需要時核發新的號碼：
- 駕照：你所在州或領地的道路管理機關
- Medicare 號碼：Services Australia 的詐騙與身分盜用服務台（1800 941 126）
- NDIS 號碼：NDIS 詐騙通報專線（1800 650 717）
若你在澳洲有信用紀錄，可考慮申請信用報告凍結
Quest 的常見問題頁面建議考慮信用報告凍結，即信用評等機構未經你書面同意，不得向信用提供者揭露你的信用檔案（該頁面列出如何向 Equifax 與 Experian 申請）。
OAIC 也建議，當財務資訊外洩時，應取得自己的信用報告。對於在澳洲沒有信用檔案的旅客而言，這個步驟的影響較小。
需要協助？IDCARE、Scamwatch、cyber.gov.au
IDCARE 是澳洲的國家級身分與網路支援服務，會評估你的情況並規劃量身打造的應對方案（個人諮詢電話：1800 595 160）。Scamwatch 提供詐騙資訊與通報管道；cyber.gov.au 則涵蓋網路安全事件。Quest 的常見問題頁面也列出 Scamwatch 與 cyber.gov.au。
① 信用卡號碼 + CVV（46,727）
→ 致電發卡銀行，詢問是否補發，並持續檢查帳單
② 僅信用卡號碼（297,739）
→ 通知銀行，定期檢查帳單
③ 護照／駕照號碼（104,268）
→ 參考發證機關的建議；對引用你號碼的聯絡保持懷疑
④ 僅姓名與聯絡方式（多數人）
→ 不要點擊「確認訂房」訊息中的連結
在所有情況下，依 Quest 的說明，均未有掃描的護照或身分證件受到影響
事件經過（取自 Quest Apartment Hotels 的聲明）
以下內容均取自 Quest 的官方聲明（8 月 19 日、8 月 21 日、9 月 16 日、9 月 23 日與 9 月 25 日）及其常見問題頁面。
2026 年 8 月 17 日
Quest 發現網站中斷；調查確認，一名威脅行為者利用第三方服務供應商軟體中的一項漏洞，進入了 Quest 的環境。事件已獲得控制。8 月 19 日
首次聲明：2025 年 6 月以前的紀錄，主要為姓名、電子郵件地址與其他聯絡資訊。8 月 21 日
Quest 表示，絕大多數的資料僅限於姓名與聯絡資訊，並已通報澳洲資訊專員辦公室（OAIC）、澳洲訊號局（ASD）、澳洲網路安全中心（ACSC）與維多利亞州警察局，並與其合作。9 月 16 日
完成鑑識資料分析：約 1,991,613 名客戶受到影響，並列出包括附 CVV 信用卡號碼在內的各類別數量。9 月 23 日
發布關於護照與駕照號碼的說明；常見問題頁面上線。9 月 25 日
警告冒用 Quest 名義的 WhatsApp 訊息與電子郵件。
| 類別（Quest 9 月 16 日的更新） | 紀錄數 |
|---|---|
| 車輛登記號碼 | 225,300 |
| 護照及／或駕照號碼（僅號碼，無掃描的證件文件） | 104,268 |
| 信用卡號碼（不含 CVV，含已過期卡片） | 297,739 |
| 附 CVV 的信用卡號碼（含已過期卡片） | 46,727 |
| 出生日期 | 3,328 |
| NDIS 號碼（僅號碼） | 271 |
| Medicare 卡號碼（僅號碼） | 46 |
- 範圍
- 約 1,991,613 名客戶。2025 年 6 月以前的紀錄
- 受影響者共通的資料
- 姓名、地址、電話與電子郵件地址的某種組合（常見問題頁面另提及訂房資訊與個人偏好）
- 部分人士
- 如上表所示。並非每個類別都適用於每一位當事人
- 原因（依 Quest 的說明）
- 一名威脅行為者利用第三方服務供應商軟體中的漏洞，進入 Quest 的環境。漏洞細節尚未公開
- Quest 的回應
- 已控制事件並完成修補；與外部法律顧問及鑑識資料分析專家共同調查；加強安全控制；要求第三方供應商修補受影響的環境並增加安全措施
- 主管機關
- 已通報並與 OAIC、ASD、ACSC 及維多利亞州警察局合作
如何解讀：「多數為姓名與聯絡資訊」的說法有所擴大
8 月時，Quest 表示絕大多數受影響者只涉及姓名與聯絡資訊。約一個月後，分析完成，Quest 公布的數字則包括附 CVV 的信用卡號碼與護照號碼。
多數人確實仍只有姓名與聯絡資訊受到影響，但如果你看過第一份聲明，並判斷與你無關，請再次確認是否有收到通知。Quest 表示，通知會在它核實每位當事人的資料後分階段寄出。
為何飯店的紀錄中會有 CVV？PCI DSS 怎麼說
印在卡片上、三到四位數的卡片驗證碼（CVV），在卡片產業安全標準 PCI DSS 中受到特別規範。依據負責維護該標準的 PCI 安全標準委員會（PCI SSC）的公開資料：
- 卡片驗證碼被歸類為敏感驗證資料（SAD），與完整磁條（磁軌）資料及 PIN 碼並列。
- 敏感驗證資料即使經過加密，授權後也不得保存，即使在環境中沒有卡號的情況下也適用。
- 即使取得客戶同意，授權後也不得保留卡片驗證碼，包括為留存卡片或定期扣款的交易。例外是具有合法業務需求的發卡機構及支援發卡服務的公司。
- PCI DSS 並不禁止在交易授權前收集該驗證碼。
授權後可保存（適用保護要求）
- 卡號（PAN）
- 持卡人姓名
- 有效期限
- 服務代碼
授權後不得保存（敏感驗證資料）
- 卡片驗證碼（CVV 等）
- 完整磁軌資料（磁條或晶片的等效資料）
- PIN 碼與 PIN 區塊
那麼，Quest 紀錄中的 46,727 筆 CVV 是怎麼來的？Quest 尚未說明。這些資料是否在授權前的訂房階段取得、保存了多久，以及存放在哪個系統、如何保存，都尚未公開。
Quest 的常見問題頁面表示，受影響的紀錄是其第三方服務供應商留在該環境中的資料，目前正與供應商共同調查。本站無法根據這些資訊斷定任何人違反了 PCI DSS。
本站看法：身為住客，你能做的是減少 CVV 被交出去的地點
PCI SSC 禁止授權後保存的理由是，被竊取的驗證碼可能與其他被竊資料相互比對，進而還原卡號與驗證碼。換言之，CVV 原本應該在付款完成後就不再保留，而它出現在訂房紀錄中，正是這起事件較為嚴重之處。
對住客而言，實際的做法是減少交出 CVV 的對象與時機：
- 不要把卡片資料寫在寄給飯店的電子郵件或聊天訊息中
- 若可能，選擇當場完成付款的方式
- 網路消費只使用一張固定的卡片，如此一來，日後收到類似通知時，需要補發的只限一張卡
關於今年另一起住宿訂房事件，請參閱 Booking.com 訂房資料遭存取事件。
給處理卡片資料的企業
Quest 對事件原因的說明僅止於「透過第三方服務供應商的一項漏洞」。以下內容是給任何為訂房或服務收取卡片資料之人的一般性指引，並非對本次事件原因的說明。
找出 CVV 殘留在哪裡，包括自家系統與供應商的系統
授權後不保存卡片驗證碼，是 PCI SSC 的常見問答中反覆強調的原則。除了自家資料庫，也要檢查供應商的系統、舊的訂房資料，以及系統遷移後留下的副本。如同 Quest 的說明所示，紀錄可能留存在供應商的環境中。
改用不會持有卡片資料的付款方式
如果卡片輸入完全在付款服務商的頁面上進行，卡號與 CVV 就不會經過你的系統，因此你這一端就沒有可能外洩的卡片資料。這也能縮小 PCI DSS 的適用範圍。
盤點供應商為你保存的資料，並設定刪除期限
Quest 受影響的紀錄來自 2025 年 6 月以前。請列出每位供應商為你保存了哪些資料、保存到何時，並在合約與作業上約定期限屆滿時予以刪除。相關原則可參閱組織的最低安全基準。
資料來源（公開紀錄）
本文事實係根據以下公開資訊。服務供應商的名稱與未公開的攻擊手法不在本文討論範圍。
- Quest Apartment Hotels，〈Statement from Quest Apartment Hotels〉（2026 年 8 月 19 日）— newshub.medianet.com.au
- Quest Apartment Hotels 更新頁面（8 月 21 日與 9 月 16 日的官方聲明、9 月 23 日關於護照與駕照的聲明、9 月 25 日的詐騙警示，以及常見問題）— questapartments.com.au/update
- PCI 安全標準委員會常見問答 1280，〈Can card verification codes/values be stored for card-on-file or recurring transactions?〉— pcisecuritystandards.org
- PCI SSC 常見問答 1533，〈Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?〉— pcisecuritystandards.org
- PCI SSC 術語表，〈Sensitive Authentication Data〉與〈Cardholder Data〉— SAD / CHD
- 澳洲資訊專員辦公室（OAIC），〈Respond to a data breach notification〉— oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / ASD 旗下的澳洲網路安全中心 — cyber.gov.au
更新紀錄
2026-09-30：首版，依據 Quest Apartment Hotels 於 2026 年 8 月 19 日至 9 月 25 日的聲明與常見問題，以及 PCI SSC、OAIC 等機構的公開資料撰寫。Quest 的調查仍在進行中；若其發布更多資訊，我們將更新本文。
延伸閱讀
- 另一起住宿訂房事件：Booking.com 訂房資料遭存取事件
- 卡片標準：什麼是 PCI DSS？
- 其他外洩的證件號碼案例：Odido（荷蘭：護照與駕照號碼） / AssuranceAmerica（美國：駕照號碼） / Times Car（日本：駕照影像）
- 外洩後常見的詐騙：什麼是網路釣魚？ / 旅途中的裝置安全：攜帶筆電時的安全防護
- 其他 2026 年事件：資料外洩與網路攻擊列表（日本與全球）