Shippio 确认客户资料遭访问、文档被下载及 API 凭据被非法创建
Shippio 确认所有客户的公司及联系记录遭访问，约 1,300 份文档被下载。攻击者利用内部工具存储的凭据进入系统，在约 1,100 个团队中创建非法账户及 API 凭据，并上传恶意文件。服务仍暂停；客户须核对导出资料，并在重开后重新取得 API 访问凭据。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Shippio Platform 客户及受邀用户；配送、文档和内部文件的暴露范围按类别区分。
- Shippio · SaaS · credentials
- 在野利用
- 已发现
- Shippio 确认未授权访问、文档下载及非法账户和 API 凭据创建。
发生了什么
Shippio 称内部业务工具自 10 月 30 日起遭未授权访问，攻击者利用其中存储的凭据进入 Shippio Platform。11 月 4 日公开公告描述了日本时间约 11 月 1 日 19:30 至 11 月 2 日 17:00 的多次平台访问。公司于 11 月 2 日发现并停服，但停服不能证明整个入侵时段立即结束。公司称现已阻断所有已知路径，未公开内部工具名称、CVE 或客户软件修复版本；没有证据将其关联到其他近期 SaaS 事件。
所有客户的公司名称、团队名称、电话及地址被查看。登记过运输记录的客户几乎全部涉及运输内容，以及文档文件名和类型被查看。约 1,300 份文档被下载，具体文件仍在调查。部分内部共享文件被查看或取得，可能含客户资料；其他内部文档含非用户的个人信息，其范围仍在调查。用户姓名及邮箱可被访问，但未发现批量取得迹象。Shippio 称登录密码由外部认证服务管理，其系统不保存，本次未被取得。不能将这些类别合并为确认受影响人数。
公司确认约 1,100 个签约团队涉及非法用户账户及 API 凭据创建，并有设置写入及恶意运输文件上传。未发现客户下载恶意文件的迹象，亦未确认运输业务资料内容被改写。公司已删除非法账户、凭据及恶意文件，恢复遭改设置，停用内部工具，更换或失效化相关凭据，并重置全部登录状态；环境与数据访问验证、监管报告及咨询仍在进行。未确认泄露资料遭滥用，不等于证明没有滥用。
共享物流平台出现已确认、广泛的客户资料访问，以及攻击者控制的账户和 API 凭据，因此评为 L4。平台仍在维护，未给出重开期限。客户通知自 11 月 2 日开始，公开文章日期为 11 月 4 日。没有确立财务损失总额或已完全恢复。
案发时间线
2026年10月30日
内部业务工具开始遭未授权访问
Shippio 称攻击者随后利用工具中存储的凭据访问其系统，详细根因仍在调查。
11月1日 10:30 UTC
已报告的平台入侵时段开始
厂商给出的时段为日本时间约 11 月 1 日 19:30 至 11 月 2 日 17:00，即 11 月 1 日 10:30 至 11 月 2 日 08:00 UTC，期间发生多次访问。
11月2日 01:40 UTC
发现异常后进入维护模式
厂商时间为日本时间 10:40；阻断已知路径、更换凭据并调查恢复。停服不能证明所有未授权访问在该时刻结束。
2026年11月4日
公开公告确认暴露范围及处置步骤
公告说明调查进展截至 11 月 3 日 18:00，但该截止时刻未重申时区。确认记录访问、约 1,300 份下载，以及约 1,100 个团队的账户和 API 凭据异常，尚无重开日期。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Shippio 11 月 4 日原始事件公告一手来源网页阅读器失败后，经普通公开 HTTP 请求完整阅读日文原文。确认分类暴露、非法账户和 API 凭据、恶意上传、遏制措施及客户恢复指引；重开和详细根因仍待确认。