Reqrea酒店入住数据泄露事件：逾百万本护照信息外泄

日本酒店科技公司Reqrea的一个云存储桶因配置错误，导致超过一百万份身份证件在网络上裸奔，时间可能长达数年。护照、驾照及人脸验证照片均可在无需身份验证的情况下访问。安全研究人员将此事件称为亚太地区酒店业迄今曝光的最严重酒店入住身份数据泄露事件之一。目前相关数据已得到妥善保护，但泄露窗口最早可追溯至2020年，这令人不禁质疑：受影响的旅客在不知情的情况下，究竟已处于风险之中多久。

Reqrea泄露了哪些数据，谁是受害者

Reqrea为酒店及短期住宿运营商提供数字入住基础设施服务。与众多现代酒店科技供应商一样，其平台在宾客入住流程中负责身份核验，通过扫描政府颁发的证件及采集生物特征照片，在宾客抵达前或抵达时确认其身份。

此次泄露的云存储桶包含超过一百万条记录，其中包括完整的护照扫描件、驾照图像，以及用于身份比对的人脸照片。从数据性质来看，此次泄露波及使用Reqrea系统的住宿场所的国际旅客，涉及范围可能横跨多个国家和国籍。一名安全研究人员发现了这一配置错误并予以举报，促使Reqrea及时封锁了该存储桶。目前尚无攻击者访问数据的公开确认记录，但鉴于长达数年的泄露窗口，这一可能性不容排除。

酒店科技供应商如何成为旅客信息安全的薄弱环节

当旅客在酒店前台递上护照时，他们通常默认该证件会被妥善处理并及时销毁。然而，许多旅客并不知道，酒店本身往往并不直接管理这些数据。相反，数据会流经Reqrea等第三方科技供应商——正是这些公司为前台及自助服务终端提供数字化基础设施支撑。

这造成了一个多层次的责任归属问题。酒店须遵守当地数据保护法律及酒店业法规，但其使用的供应商可能处于不同司法管辖范围之内，或采用参差不齐的安全标准。云存储桶配置错误是最常见、最易预防的数据泄露方式之一，是一种成熟的安全管理体系在上线前就应发现的基础架构失误，更遑论允许其持续数年之久。

这并非孤立事件。酒店业已反复成为数据安全事件的目标和根源，原因在于大量敏感个人信息在其系统中流转。另一起波及多个国家酒店宾客的数据泄露事件通过被入侵的酒店管理平台导致五百万人信息外泄，充分说明这一生态系统已变得何等相互关联、脆弱不堪。

为何生物特征与证件数据泄露危害尤为严重

并非所有数据泄露都会带来同等后果。泄露的电子邮件地址尚可补救，泄露的护照则无法挽回。

政府颁发的身份证件是银行、移民、就业及法律体系中身份核验的根基凭证。一旦高分辨率护照扫描件落入不法分子之手，便可被用于开设欺诈性金融账户、构建合成身份，或绕过依赖证件图像而非实物核验的身份审查。

人脸验证照片进一步加剧了这一风险。生物特征数据在身份认证系统中的应用日益广泛，而与密码不同的是，人脸无法更改。护照扫描件与匹配的人脸照片相结合，在数字与现实场景中几乎提供了冒充他人身份所需的全部要素。

此类泄露的受害者可能不会立即遭受损失。基于窃取的政府证件构建的身份欺诈，往往在数月乃至数年后才浮出水面，这使得溯源至特定事件愈发困难，补救也更加棘手。

旅客在酒店要求提供身份证件时如何降低风险

当酒店要求提供身份证件进行入住核验时，旅客的主动权十分有限，但仍有一些切实可行的步骤可以减少长期风险。

首先，在递交证件前主动询问。当地法律通常要求住宿场所记录宾客身份信息，但存储方式并非总有明确规定。询问数字扫描件在完成入住后是否会被保留、保留多长时间，是合理诉求，负责任的运营商理应能够给出答复。

其次，在条件允许时，优先选择出示实体证件而非上传数字文件。若酒店应用程序要求您在抵达前上传护照照片，不妨考虑该步骤究竟是法律所要求，还是仅为便利功能。数字副本越少，泄露风险点也就越少。

第三，在使用第三方入住系统的住宿场所住宿后，主动监测自身身份安全状况。如果您的护照或驾照曾被安全措施难以核实的供应商扫描，定期排查身份欺诈迹象是有价值的，尤其是在续签金融产品或申请需要身份核验的事项之前。

最后，及时关注酒店业的数据泄露披露信息。酒店及其供应商向受影响宾客发出通知往往并不及时，泄露消息通常由安全研究人员率先披露，官方通知随后才会发出。

这对您意味着什么

Reqrea泄露事件再次提醒我们，酒店入住身份数据泄露的风险并非假设。每当您向住宿运营商递交政府颁发的证件，该证件便进入一条您既无法查看、也无从掌控的数据管道。问题根植于结构性缺陷：酒店业大规模收集高度敏感的身份数据，将其分散至各技术供应商，而历来对安全监管的执行参差不齐。

如果您是频繁出行的旅客，尤其是曾在日本或其他Reqrea运营市场的酒店使用过自动化或应用程序入住系统的人，建议关注您的信用记录和身份信息，留意是否有异常活动。如需进一步了解酒店业此类事件的整体态势，有关波及数百万旅客的酒店宾客数据泄露的相关报道，可为您提供理解这些漏洞规模与规律的有益背景。

向托管您最敏感证件的企业提出更高要求。出行在外，在递交证件之前，务必先弄清楚究竟是谁在持有您的数据。