<p>宠物健康公司 Petco 在其 Vetco Clinics 网站上部分下线，原因是安全漏洞暴露了大量客户的个人信息。</p>
<p>在 TechCrunch 提醒公司有关 Vetco 客户及其宠物的暴露数据后，Petco 在一份声明中确认正在调查其兽医服务公司的数据泄露，并拒绝进一步评论。</p>
<p>安全漏洞使得任何互联网用户都可以在不需要用户登录信息的情况下，从 Vetco 的网站下载客户记录。至少有一份客户记录被曝光并被谷歌索引，任何人都可以通过搜索找到这些数据。</p>
<p>TechCrunch 看到的客户记录包括访问摘要、医疗历史、处方和疫苗接种记录，以及与 Vetco 客户及其宠物相关的其他文件。</p>
<p>这些文件还包含客户姓名、家庭地址、电子邮件地址和电话号码；提供服务的 Vetco 诊所位置；医疗评估、测试和诊断；商品费用、兽医姓名、同意书、主人签名和服务日期。</p>
<p>我们还在文件中发现了动物的名字、物种和品种、性别、年龄和出生日期、微芯片号码（如果已注册）、医疗指标和处方记录。</p>
<p>TechCrunch 在周五发现漏洞后提醒了 Petco。该公司在接下来的周二承认了数据曝光，几天后在 TechCrunch 跟进时附上了几份曝光的客户文件。</p>
<p>Petco 发言人 Ventura Olvera 在周二晚间告诉 TechCrunch，公司 “已实施并将继续实施额外措施，以进一步加强我们系统的安全性”，尽管公司没有提供该声明的证据。</p>
<p>Olvera 未透露公司是否具备技术手段，例如日志，以确定在数据泄露过程中是否有任何数据被提取。</p>
<h2>TechCrunch 如何发现数据泄露</h2>
<p>TechCrunch 识别出 Vetco 网站在生成客户 PDF 文档时存在的漏洞。</p>
<p>Vetco 的客户门户网站位于<code>petpass.com</code>，允许客户登录并获取与其宠物护理相关的兽医记录和其他文件。但 TechCrunch 发现，Vetco 网站上的 PDF 生成页面是公开的，没有密码保护。</p>
<p>因此，任何互联网用户都可以通过修改网址输入客户的唯一识别号码，直接从 Vetco 的服务器访问敏感客户文件。Vetco 客户号码是顺序的，这意味着只需将客户号码更改一到两个数字，就可以访问其他客户的数据。</p>
<p>TechCrunch 以每 100,000 个客户为间隔检查，以确定可能暴露的记录总数。顺序客户号码表明，数百万 Petco 客户的信息可能已被检索。</p>
<p>该漏洞被归类为不安全的直接对象引用（IDOR），这是安全实践中的常见失误，允许对服务器上的文件进行无限制访问，因为没有适当的检查来确保访问数据的人是被允许的。</p>
<p>目前尚不清楚这些客户记录暴露了多长时间，但谷歌上列出的客户记录日期为 2020 年中期。</p>
<h2>今年 Petco 的第三次数据泄露</h2>
<p>根据 TechCrunch 的统计，这是 Petco 在 2025 年的第三次数据泄露。</p>
<p>今年早些时候，与 Scattered Lapsus$ Hunters 黑客组织相关的黑客涉嫌从 Petco 与云巨头 Salesforce 共同托管的客户信息数据库中窃取大量数据。黑客要求受害公司支付赎金，以避免其信息被泄露。</p>
<p>在九月份，Petco 披露了第二次数据泄露，涉及公司自发现的安全问题。Petco 将数据泄露归咎于 “我们的一款软件应用程序中的设置不小心允许某些文件在线可访问”，但未提供事件的具体细节。</p>
<p>该数据泄露包括敏感客户信息，如社会安全号码、驾驶执照和财务信息，包括借记卡和信用卡号码。</p>
<p>Olvera 拒绝透露九月份事件影响了多少人，但加州法律要求公司在受害者人数超过 500 人时公开披露数据泄露。</p>
<p>TechCrunch 认为，这次涉及 Vetco 的最新数据泄露是一起独立的安全事件，因为 Petco 几个月前就开始通知客户之前的数据泄露。</p>

WOOF

<p>Petco 已经关闭了其 Vetco Clinics 网站，因为一次安全漏洞暴露了客户的个人信息。TechCrunch 发现了这一漏洞，该漏洞允许在没有登录凭据的情况下访问客户记录。暴露的数据包括个人信息和宠物信息。这是 Petco 在 2025 年发生的第三次数据泄露。Petco 正在调查此事件并实施额外的安全措施</p>

<p>Pet wellness company Petco has taken a portion of its Vetco Clinics website offline after a security lapse exposed reams of customers’ personal information to the open web.</p>
<div class="lb-trans"><p>宠物健康公司 Petco 在其 Vetco Clinics 网站上部分下线，原因是安全漏洞暴露了大量客户的个人信息。</p>
</div><p>After TechCrunch alerted the company to the exposed data relating to Vetco customers and their pets, Petco confirmed in a statement that it was investigating the data leak at its veterinary services company, and declined to comment further.</p>
<div class="lb-trans"><p>在 TechCrunch 提醒公司有关 Vetco 客户及其宠物的暴露数据后，Petco 在一份声明中确认正在调查其兽医服务公司的数据泄露，并拒绝进一步评论。</p>
</div><p>The security lapse allowed anyone on the internet to download customer records from Vetco’s website without needing a user’s login information. At least one customer record was exposed and indexed by Google, allowing anyone to find the data by searching for it.</p>
<div class="lb-trans"><p>安全漏洞使得任何互联网用户都可以在不需要用户登录信息的情况下，从 Vetco 的网站下载客户记录。至少有一份客户记录被曝光并被谷歌索引，任何人都可以通过搜索找到这些数据。</p>
</div><p>The customer records, seen by TechCrunch, included visit summaries, medical histories, and prescription and vaccination records, among other files relating to Vetco customers and their pets.</p>
<div class="lb-trans"><p>TechCrunch 看到的客户记录包括访问摘要、医疗历史、处方和疫苗接种记录，以及与 Vetco 客户及其宠物相关的其他文件。</p>
</div><p>The files also contained customer names; their home address, email address, and phone number; the location of the Vetco clinic where the services were performed; medical assessments, tests and diagnoses; and the costs of goods, names of veterinarians, consent forms, owner signatures, and dates of service.</p>
<div class="lb-trans"><p>这些文件还包含客户姓名、家庭地址、电子邮件地址和电话号码；提供服务的 Vetco 诊所位置；医疗评估、测试和诊断；商品费用、兽医姓名、同意书、主人签名和服务日期。</p>
</div><p>We also found animal names, species and breed, their sex, age and date of birth, their microchip number (if registered), their medical vitals, and prescription records in the files.</p>
<div class="lb-trans"><p>我们还在文件中发现了动物的名字、物种和品种、性别、年龄和出生日期、微芯片号码（如果已注册）、医疗指标和处方记录。</p>
</div><p>TechCrunch alerted Petco to the security lapse on Friday after discovering the vulnerability. The company acknowledged the data exposure days later on the following Tuesday after TechCrunch followed-up by attaching several exposed customer files to our email.</p>
<div class="lb-trans"><p>TechCrunch 在周五发现漏洞后提醒了 Petco。该公司在接下来的周二承认了数据曝光，几天后在 TechCrunch 跟进时附上了几份曝光的客户文件。</p>
</div><p>Petco spokesperson Ventura Olvera told TechCrunch late on Tuesday that the company has “implemented, and will continue to implement, additional measures to further strengthen the security of our systems,” though the company did not provide evidence for the claim.</p>
<div class="lb-trans"><p>Petco 发言人 Ventura Olvera 在周二晚间告诉 TechCrunch，公司 “已实施并将继续实施额外措施，以进一步加强我们系统的安全性”，尽管公司没有提供该声明的证据。</p>
</div><p>Olvera would not say if the company has the technical means, such as logs, to determine if any data was extracted from the company’s systems during the course of the data spill.</p>
<div class="lb-trans"><p>Olvera 未透露公司是否具备技术手段，例如日志，以确定在数据泄露过程中是否有任何数据被提取。</p>
</div><h2>How TechCrunch found the data spill</h2>
<div class="lb-trans"><h2>TechCrunch 如何发现数据泄露</h2>
</div><p>TechCrunch identified a vulnerability in how Vetco’s website generates copies of PDF documents for its customers.</p>
<div class="lb-trans"><p>TechCrunch 识别出 Vetco 网站在生成客户 PDF 文档时存在的漏洞。</p>
</div><p>Vetco’s customer portal, located at <code>petpass.com</code>, allows customers to log in and obtain veterinary records and other documents relating to their pet’s care. But TechCrunch found that the PDF generating page on Vetco’s website was public, and not protected with a password.</p>
<div class="lb-trans"><p>Vetco 的客户门户网站位于<code>petpass.com</code>，允许客户登录并获取与其宠物护理相关的兽医记录和其他文件。但 TechCrunch 发现，Vetco 网站上的 PDF 生成页面是公开的，没有密码保护。</p>
</div><p>As such, it was possible for anyone on the internet to access sensitive customer files directly from Vetco’s servers by modifying the web address to input a customer’s unique identification number. Vetco customer numbers are sequential, which means one could access other customers’ data simply by changing a customer number by one or two digits.</p>
<div class="lb-trans"><p>因此，任何互联网用户都可以通过修改网址输入客户的唯一识别号码，直接从 Vetco 的服务器访问敏感客户文件。Vetco 客户号码是顺序的，这意味着只需将客户号码更改一到两个数字，就可以访问其他客户的数据。</p>
</div><p>TechCrunch checked at intervals of 100,000 customers to determine how many records may have been exposed in total. The sequential customer numbers suggest that millions of Petco customers’ information could have been retrieved.</p>
<div class="lb-trans"><p>TechCrunch 以每 100,000 个客户为间隔检查，以确定可能暴露的记录总数。顺序客户号码表明，数百万 Petco 客户的信息可能已被检索。</p>
</div><p>The bug is classed as an insecure direct object reference (or IDOR), a common lapse in security practices that allows unfettered access to files on a server because there aren’t proper checks in place to make sure the person accessing the data is permitted to.</p>
<div class="lb-trans"><p>该漏洞被归类为不安全的直接对象引用（IDOR），这是安全实践中的常见失误，允许对服务器上的文件进行无限制访问，因为没有适当的检查来确保访问数据的人是被允许的。</p>
</div><p>It’s not clear how long these customer records have been left exposed, but the customer record listed on Google was dated mid-2020.</p>
<div class="lb-trans"><p>目前尚不清楚这些客户记录暴露了多长时间，但谷歌上列出的客户记录日期为 2020 年中期。</p>
</div><h2>Third Petco breach this year</h2>
<div class="lb-trans"><h2>今年 Petco 的第三次数据泄露</h2>
</div><p>By TechCrunch’s count, this is Petco’s third data breach in 2025.</p>
<div class="lb-trans"><p>根据 TechCrunch 的统计，这是 Petco 在 2025 年的第三次数据泄露。</p>
</div><p>Earlier this year, hackers associated with the Scattered Lapsus$ Hunters hacking collective allegedly stole reams of data from a database of customer information that Petco hosts with cloud giant Salesforce. The hackers demanded victim companies pay a ransom to not have their information leaked.</p>
<div class="lb-trans"><p>今年早些时候，与 Scattered Lapsus$ Hunters 黑客组织相关的黑客涉嫌从 Petco 与云巨头 Salesforce 共同托管的客户信息数据库中窃取大量数据。黑客要求受害公司支付赎金，以避免其信息被泄露。</p>
</div><p>In September, Petco disclosed a second data breach involving a security issue that the company said it discovered on its own. Petco blamed the data leak on “a setting within one of our software applications that inadvertently allowed certain files to be accessible online,” but did not provide specific details of the incident.</p>
<div class="lb-trans"><p>在九月份，Petco 披露了第二次数据泄露，涉及公司自发现的安全问题。Petco 将数据泄露归咎于 “我们的一款软件应用程序中的设置不小心允许某些文件在线可访问”，但未提供事件的具体细节。</p>
</div><p>That data breach included sensitive customer information, such as Social Security numbers, driver’s licenses, and financial information, including debit and credit card numbers.</p>
<div class="lb-trans"><p>该数据泄露包括敏感客户信息，如社会安全号码、驾驶执照和财务信息，包括借记卡和信用卡号码。</p>
</div><p>Olvera declined to say how many people are affected by the September incident, but California law requires companies to disclose data breaches publicly when the number of victims in the state crosses 500 people.</p>
<div class="lb-trans"><p>Olvera 拒绝透露九月份事件影响了多少人，但加州法律要求公司在受害者人数超过 500 人时公开披露数据泄露。</p>
</div><p>TechCrunch believes this latest data leak involving Vetco is a separate security incident, given that Petco began notifying its customers of the previous data leak several months ago.</p>
<div class="lb-trans"><p>TechCrunch 认为，这次涉及 Vetco 的最新数据泄露是一起独立的安全事件，因为 Petco 几个月前就开始通知客户之前的数据泄露。</p>
</div>

Petco 在客户个人信息泄露后关闭了 Vetco 网站