skyticket（Adventure Inc.）資料外洩事件（約 1,464 萬筆紀錄）：密碼、退款銀行帳戶資料與部分用戶信用卡資料遭洩漏——用戶今天應該做什麼

在第一起事件中，約 413 萬筆會員登入密碼以雜湊形式外洩。雜湊會將密碼轉換為難以還原的形式，但公司本身警告，密碼仍可能透過分析被破解，並用於未經授權的登入（雜湊的運作方式：什麼是密碼雜湊？）。

公司請會員變更密碼。請透過 skyticket 官方網站或應用程式登入後變更，不要透過電子郵件中的連結。公司表示其郵件中不包含要求您輸入密碼的連結。

公司請在其他地方使用相同密碼的人也一併變更。被破解的密碼可能會與您的電子郵件地址一起在其他網站上被嘗試。

請優先處理一旦被接管後最具損害性的帳戶：電子郵件、網路銀行與購物網站。若您不確定自己在哪裡重複使用過，請參閱 如何檢查密碼是否外洩與 如何選擇密碼管理工具。

截至 10 月 17 日，skyticket 的公告未提及雙重驗證。您變更密碼的其他服務若有提供，請開啟（參閱 如何選擇多重驗證）。

根據公司 10 月 16 日的第二次公告，在該期間為支付 skyticket Premium 會費而登錄或使用信用卡的最多 6,140 人，其信用卡號、持卡人姓名與有效期限（部分人僅卡號）已外洩。安全碼未包含在內。

公司請這些人檢查該卡2026 年 10 月起的帳單。換發的新卡可能保留相同卡號，因此換發過的卡也請一併檢查。若看到任何不認識的扣款，即使金額很小，也請使用卡背面的號碼聯絡發卡機構。如果您不確定是否要換卡，也可以詢問發卡機構。

公司表示，將寄信給其聯絡方式可確認的受影響者，寄件地址為 info@skyticket.com，但無法就個別詢問是否受影響提供答覆。對於聯絡方式無法確認的人，第二次公告本身即作為通知。如果您記得自己在該期間為支付會費而登錄或使用過信用卡，請不必等候郵件，直接檢查帳單。

第二次公告指出，作為 skyticket Premium 附加福利提供的福利服務（由另一家公司經營）之會員 ID、姓名與密碼也已外洩。這些資料經過加密，但用於加密的資訊也遭取得，因此可能可以被讀取。

公司請仍在使用該服務的人變更密碼，並表示將在與服務提供商討論後公布確切程序。若您在其他服務上也使用相同密碼，請一併變更。

公司請用戶檢查帳戶中的訂位紀錄與信用卡帳單。即使您不在上述 Premium 族群中，若有人登入您的帳戶，已儲存的信用卡可能會被用來訂位。為防止此情況，公司於 10 月 7 日下午約 6 點暫停了使用已儲存信用卡付款及儲存信用卡的功能。

請將不認識的訂位回報給公司的聯絡窗口，並將不明扣款回報給您的發卡機構。公司表示已於 9 月 9 日確認一次會員帳戶遭未經授權登入。

公司警告，可能會收到冒充公司、銀行、航空公司、巴士業者、信用卡發卡機構或福利服務的電子郵件、簡訊、電話與信件。由於姓名、出生日期、電話號碼與地址已外洩，此類訊息可能看起來非常可信。

公司表示，就本次事件絕不會要求付款。任何以退款或賠償之名要求您轉帳、支付費用或安裝應用程式的訊息，都應視為假冒。公司表示，絕不會透過電子郵件、簡訊或電話要求您提供信用卡號、有效期限、安全碼或密碼，也不會要求您透過電子郵件中的連結輸入信用卡資料。請勿使用訊息中的連結或電話號碼；請透過您自行開啟的官方網站查詢（參閱 什麼是網路釣魚？）。

公司自 10 月 8 日起寄出的郵件來自 info@skyticket.com，主旨有四種變體，皆以「【重要】不正アクセスによるお客様情報」開頭，並帶有英文行，例如「[Important] Apology for Information Leak Due to Unauthorized Access」。公司表示，來自其他地址的郵件，或要求您輸入密碼的郵件，都可能是假冒的。

在第二起事件中，退款用銀行帳戶資料（銀行名稱、分行、帳戶種類、帳號與戶名）外洩或可能外洩。公司表示，光憑這些資料並不能讓他人立即提領款項。

真正的危險在於有人假冒退款流程，以取得您的提款密碼或網路銀行帳號與密碼。日本全國銀行協會表示，從不向客戶索取提款密碼或密碼；日本警察廳表示，警察人員從不透過電話詢問提款密碼。一次性密碼亦同：不要透過電話或簡訊提供。

請檢查您的存摺或銀行應用程式，查看是否有不認識的交易，如有發現，請聯絡您的銀行。我們未找到官方指引表示僅因帳號外洩就必須更換帳戶。如果您感到擔心，請使用金融卡上的號碼或銀行官方網站上的號碼聯絡銀行。

在第三起事件中，巴士訂位完成頁面在 2026 年 8 月 3 日至 10 月 1 日期間，可以在未登入的情況下顯示。乘車日期與時間、上下車地點、營運業者、班次名稱，以及業者的訂位編號都在被檢視的項目之中。

公司警告，掌握這些資訊的人可能會假冒公司或巴士業者，要求您變更或取消訂位，或支付額外費用。您可以在帳戶中的「予約確認」（訂位確認）下，全天候 24 小時查詢或取消訂位。若您的訂位在您不知情的情況下被變更或取消，請聯絡公司。

公司於 10 月 13 日開通了專用電話專線 03-5224-8859（週一至週五日本時間上午 10 點至下午 6 點，僅限日語）。電子郵件聯絡窗口為 info@skyticket.com（24 小時受理，依序回覆）；合作夥伴與代理商另有專用信箱。截至 10 月 10 日，公司表示詢問量非常龐大，電話難以接通，電子郵件回覆也有延遲。請透過您自行開啟的官方公告確認電話號碼，不要使用您收到的郵件或簡訊中的號碼。在等待期間，請先自行採取行動，例如變更密碼。

公司表示，第三起事件中，訂位完成頁面在該期間（8 月 3 日至 10 月 1 日）可在未登入的情況下顯示，並遭第三方以自動化方式檢視。訂位完成頁面以及從確認郵件連結的頁面，會將姓名、聯絡方式與訂位編號集中在一處。

請檢查該頁面是否驗證瀏覽者的身分。要求登入；若必須無需登入即可使用，則在網址中放入一段很長且不可猜測的字串，並設定有效期限。一般而言，若更改網址中的數字就能顯示他人的訂位，這就是一種典型缺陷，稱為 IDOR（背景：驗證與授權的差異）。

「以自動化方式檢視」代表的請求次數遠超一般人的操作。對於訂位完成頁面這類一個人很少需要反覆開啟的頁面，請限制每個來源的檢視次數，並在達到上限時通知相關人員。

您可以在應用程式內，或在網頁伺服器、CDN（內容傳遞網路）前端進行測量。入門方法請參閱 速率限制與濫用控制。

在密碼雜湊外洩後，公司暫停了已儲存信用卡的付款。若被接管的帳戶可以使用已儲存信用卡付款，即使沒有信用卡號外洩，也可能發生盜刷。

請事先確認您的網站能否自行停用已儲存信用卡付款，或要求每次付款都經過發卡機構的驗證（3-D Secure）。若沒有切換功能，您將需要在事件發生當天才開始建置。

公司表示，其於 2018 年 7 月改為不持有信用卡資料的方式，並當時刪除了信用卡資料，但會費的付款紀錄（日誌）仍留存，並於本次事件中遭取得。

一般而言，遷移系統時，請列出同一資料曾被寫入的所有地方，而不僅是主資料庫：日誌、備份、匯出檔案與舊伺服器。確認每一處都已清除，並留下紀錄。公司表示，用於加密的資訊也遭取得，因此資料可能可以被讀取，但並未說明該資訊存放於何處。一般原則是：若您將資料加密儲存，請勿將解密金鑰與資料放在同一處。若兩者一併被取得，加密便不再提供保護。

第二起事件涉及存放於業務管理系統中的退款用銀行帳戶資料。退款通常是一次性的流程，因此請決定退款完成後要保留銀行帳戶資料多久，並在期限到達時自動刪除。您不再持有的資料，就不會外洩。