skyticket 1464 万条数据泄露暴露三条独立风险

skyticket 披露一次数据泄露事件，涉及约 1464 万条客户资料。官方说明将问题归为三条彼此独立的路径：服务器遭受入侵、业务管理系统存在漏洞，以及预约页面可以在无须登录的情况下被读取。三条路径不能合并理解为同一个漏洞，这一点对后续整改范围判断很关键。

服务器事件直接导致了大规模客户数据外泄。业务管理系统漏洞暴露了管理侧的风险，需要重点复核管理功能的跨服务器权限配置，确认是否存在越权访问。预约页面的问题则指向对象级授权缺失，攻击者可能无须身份认证即可读取预约相关信息。

云数据访问的授权范围也需要检查，确认是否存在未授权读取的可能。管理功能与预约页面分别位于不同信任边界，因此不能共用一套修复方案，而应独立验证每个入口的访问控制。

密码哈希在泄露后并不自动等于安全。材料未披露具体哈希算法，但弱哈希或未加盐的实现仍可能被离线破解。工程团队需要评估现有密码存储强度，并考虑强制重置受影响账户或升级哈希策略。攻击者是否已经利用这些凭据，目前尚无公开说明。

修复状态、受影响系统的具体名称与版本范围，以及后续用户通知范围等细节仍未公开。在官方补充信息之前，建议相关团队按“可能已被利用”的前提进行内部排查，优先处理管理权限和预约授权两个暴露面。