CROSS POINT API 密钥泄露导致一家客户企业的会员资料被获取
I’LL 确认第三方用一家客户企业专用的 API 密钥获取了会员记录。厂商已封锁访问来源，并为所有客户重新签发 API 密钥。受影响会员数量未公布。
- 披露时间
- 2026年11月9日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 一家 CROSS POINT 客户企业的会员资料可通过其泄露的 API 密钥访问。使用已撤销密钥的集成需要更新。
- CROSS POINT · API keys · data breach
- 在野利用
- 已发现
- I’LL 确认第三方使用泄露的密钥获取会员资料。
发生了什么
I’LL 称，攻击者利用一家客户企业泄露的有效 API 密钥，通过会员信息 API 获取了会员资料。厂商将未经授权访问归因于凭据滥用，表示没有直接侵入数据库、篡改数据或利用软件漏洞。截至公告发布，厂商尚未发现其他客户的资料泄露痕迹。受影响企业、会员记录数量及密钥泄露方式仍未公布。
被获取的资料包括姓名、出生日期、性别、邮寄及联系资料、会员编号与等级、积分余额、实体店会员卡号、网店会员 ID，以及消费总额、购买次数和首次或末次购买日期等统计。厂商称受影响系统没有保存支付卡资料或登录密码。全产品密钥轮换涉及所有客户，已确认被获取资料的范围涉及一家客户企业。
案发时间线
2026年11月7日
I’LL 在日本发现未经授权的 API 访问
厂商撤销并重新签发受影响密钥，同时封锁访问来源。发现日期按日本时间记录。
11月9日 13:15 UTC
厂商为所有客户完成密钥重发
厂商公布的时间为日本时间 22:15，并称已强化异常检测。
11月9日 23:31 UTC
厂商公开调查结果和处置情况
公告的日本日期为 11 月 10 日，确认涉及一家客户企业。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- I’LL CROSS POINT 事件公告一手来源确认客户企业专用密钥遭滥用、涉及字段、全客户密钥重发及持续调查。