01 一个月前被偷的信息，今天才告诉你

10月26日，日本乐天集团发了一份公告，分量不轻：旗下"乐天旅游"（Rakuten Travel）的海外酒店预订系统和多语言预订网站，被黑客非法访问了。

偷了多少？

海外酒店预订网站：最大约260万用户的姓名、邮箱、电话、内部ID；其中通过该页面预订的客户信息约4万条（含预订记录、同行者），其中约3.6万条还带了支付信息——信用卡后4位、有效期、名义。

多语言预订网站：最大约86万用户的邮箱和ID；另外，通过管理后台录入的酒店员工账号信息，最大约4万条（账号名、邮箱、ID）。

注意时间线：海外酒店网站是9月10日就发现异常、9月16日修好的；多语言网站是10月20日发现、21日修好的。但公开公告是10月26日才发。

也就是说，海外那部分信息，其实被偷了一个半月才对外说。

乐天说：没偷到全卡号、安全码、密码、护照、地址，所以不能直接盗刷；目前也没发现二次被害。已经向日本个人情报保护委员会和国外监管机构报告。

02 谁的信息漏了？哪些地区的客人？

乐天特别圈定了影响范围，跟做跨境OTA的同行有关：

受影响地区：欧洲、美国加拿大、亚洲大洋洲的一部分国家和地区。

不受影响：韩国、台湾、香港、新加坡、澳门；泰国、越南、菲律宾、印尼；美国的夏威夷、关岛、洛杉矶等部分地区。

也就是说，如果你是做日本市场、欧洲市场、北美市场跨境预订的酒店方，你的客户信息可能就在这260万里。

更值得酒店人注意的是：连酒店从业者的账号信息都被偷了4万条。这意味着，黑客不光拿到了C端客人的姓名电话，还拿到了B端酒店员工在OTA后台的账号名和邮箱。下一步如果撞库攻击你的PMS、CRS系统，就是顺手的事。

03 为什么OTA总是"漏"？

这不是第一次。

过去几年，Booking、Expedia、HotelTonight、多个欧洲OTA都出过类似事件：客户信息被非法爬取、员工后台被撞库、合作伙伴接口被拖库。OTA本质上是个数据中转站，它手上攒的是全行业最敏感的东西——客人姓名、电话、入住记录、信用卡后四位、同行人信息。

为什么总出问题？三个原因：

第一，OTA系统越接越多，攻击面越来越大。乐天这个被偷的系统，不是主站，而是它子公司Rakuten Travel Xchange运营的一个"部分页面"——说白了就是一个对接酒店分销商的分销页面。这种边缘系统安全等级往往弱于主站，但里面存的数据一点不少。

第二，B端员工账号是薄弱点。酒店员工为了管房态、看订单，在OTA后台开了一堆账号。密码弱、多人共用、离职不删号——这些账号一旦被撞库，黑客就能直接进后台看订单、改价格。

第三，发现和通报之间有时间差。乐天9月10日发现、9月16日修好，但10月26日才公告。中间这一个半月，客人的信息其实已经在黑市上流了。你收到过诈骗电话、钓鱼邮件，可能就是从这种"延迟通报"里漏出去的。

04 给酒店人：数据安全自查清单

这事跟国内酒店有没有关系？有。国内OTA虽然没被点名，但酒店方自己的PMS、CRS、小程序、企业微信，都是同一套风险。

建议立刻自查这几件事：

第一，OTA后台员工账号清点。谁还能登？离职的删了没？是不是还在用"hotel001/123456"这种弱密码？开个二步验证（短信/令牌），别只靠密码。

第二，PMS权限分级。前台、销售、财务能看到的数据不一样。前台不该看客人全卡号，销售不该改其他店的价格。按岗位开权限，离职当天收回。

第三，客人信息别乱存。企业微信、销售个人手机、Excel里别存客人身份证、信用卡信息。这些数据一旦泄露，酒店是第一责任人。

第四，跟OTA确认数据责任。乐天这种事，客人信息是在OTA系统里漏的，但酒店作为接收方，客人会打电话来问你。提前准备好话术："数据泄露发生在平台侧，酒店方未受影响，建议您关注银行账单和可疑来电。"

第五，钓鱼邮件警觉。这几天如果员工收到"您的乐天账户异常""请重置密码"的邮件，别点。黑客拿到4万员工邮箱后，下一步就是定向钓鱼。

客人把手机号、身份证、信用卡交给你，是信任。这个信任砸一次牌子，十年都补不回来。