<p>寵物健康公司 Petco 在其 Vetco Clinics 網站上部分下線，原因是安全漏洞暴露了大量客户的個人信息。</p>
<p>在 TechCrunch 提醒公司有關 Vetco 客户及其寵物的暴露數據後，Petco 在一份聲明中確認正在調查其獸醫服務公司的數據泄露，並拒絕進一步評論。</p>
<p>安全漏洞使得任何互聯網用户都可以在不需要用户登錄信息的情況下，從 Vetco 的網站下載客户記錄。至少有一份客户記錄被曝光並被谷歌索引，任何人都可以通過搜索找到這些數據。</p>
<p>TechCrunch 看到的客户記錄包括訪問摘要、醫療歷史、處方和疫苗接種記錄，以及與 Vetco 客户及其寵物相關的其他文件。</p>
<p>這些文件還包含客户姓名、家庭地址、電子郵件地址和電話號碼；提供服務的 Vetco 診所位置；醫療評估、測試和診斷；商品費用、獸醫姓名、同意書、主人簽名和服務日期。</p>
<p>我們還在文件中發現了動物的名字、物種和品種、性別、年齡和出生日期、微芯片號碼（如果已註冊）、醫療指標和處方記錄。</p>
<p>TechCrunch 在週五發現漏洞後提醒了 Petco。該公司在接下來的週二承認了數據曝光，幾天後在 TechCrunch 跟進時附上了幾份曝光的客户文件。</p>
<p>Petco 發言人 Ventura Olvera 在週二晚間告訴 TechCrunch，公司 “已實施並將繼續實施額外措施，以進一步加強我們系統的安全性”，儘管公司沒有提供該聲明的證據。</p>
<p>Olvera 未透露公司是否具備技術手段，例如日誌，以確定在數據泄露過程中是否有任何數據被提取。</p>
<h2>TechCrunch 如何發現數據泄露</h2>
<p>TechCrunch 識別出 Vetco 網站在生成客户 PDF 文檔時存在的漏洞。</p>
<p>Vetco 的客户門户網站位於<code>petpass.com</code>，允許客户登錄並獲取與其寵物護理相關的獸醫記錄和其他文件。但 TechCrunch 發現，Vetco 網站上的 PDF 生成頁面是公開的，沒有密碼保護。</p>
<p>因此，任何互聯網用户都可以通過修改網址輸入客户的唯一識別號碼，直接從 Vetco 的服務器訪問敏感客户文件。Vetco 客户號碼是順序的，這意味着只需將客户號碼更改一到兩個數字，就可以訪問其他客户的數據。</p>
<p>TechCrunch 以每 100,000 個客户為間隔檢查，以確定可能暴露的記錄總數。順序客户號碼錶明，數百萬 Petco 客户的信息可能已被檢索。</p>
<p>該漏洞被歸類為不安全的直接對象引用（IDOR），這是安全實踐中的常見失誤，允許對服務器上的文件進行無限制訪問，因為沒有適當的檢查來確保訪問數據的人是被允許的。</p>
<p>目前尚不清楚這些客户記錄暴露了多長時間，但谷歌上列出的客户記錄日期為 2020 年中期。</p>
<h2>今年 Petco 的第三次數據泄露</h2>
<p>根據 TechCrunch 的統計，這是 Petco 在 2025 年的第三次數據泄露。</p>
<p>今年早些時候，與 Scattered Lapsus$ Hunters 黑客組織相關的黑客涉嫌從 Petco 與雲巨頭 Salesforce 共同託管的客户信息數據庫中竊取大量數據。黑客要求受害公司支付贖金，以避免其信息被泄露。</p>
<p>在九月份，Petco 披露了第二次數據泄露，涉及公司自發現的安全問題。Petco 將數據泄露歸咎於 “我們的一款軟件應用程序中的設置不小心允許某些文件在線可訪問”，但未提供事件的具體細節。</p>
<p>該數據泄露包括敏感客户信息，如社會安全號碼、駕駛執照和財務信息，包括借記卡和信用卡號碼。</p>
<p>Olvera 拒絕透露九月份事件影響了多少人，但加州法律要求公司在受害者人數超過 500 人時公開披露數據泄露。</p>
<p>TechCrunch 認為，這次涉及 Vetco 的最新數據泄露是一起獨立的安全事件，因為 Petco 幾個月前就開始通知客户之前的數據泄露。</p>

WOOF

<p>Petco 已經關閉了其 Vetco Clinics 網站，因為一次安全漏洞暴露了客户的個人信息。TechCrunch 發現了這一漏洞，該漏洞允許在沒有登錄憑據的情況下訪問客户記錄。暴露的數據包括個人信息和寵物信息。這是 Petco 在 2025 年發生的第三次數據泄露。Petco 正在調查此事件並實施額外的安全措施</p>

<p>Pet wellness company Petco has taken a portion of its Vetco Clinics website offline after a security lapse exposed reams of customers’ personal information to the open web.</p>
<div class="lb-trans"><p>寵物健康公司 Petco 在其 Vetco Clinics 網站上部分下線，原因是安全漏洞暴露了大量客户的個人信息。</p>
</div><p>After TechCrunch alerted the company to the exposed data relating to Vetco customers and their pets, Petco confirmed in a statement that it was investigating the data leak at its veterinary services company, and declined to comment further.</p>
<div class="lb-trans"><p>在 TechCrunch 提醒公司有關 Vetco 客户及其寵物的暴露數據後，Petco 在一份聲明中確認正在調查其獸醫服務公司的數據泄露，並拒絕進一步評論。</p>
</div><p>The security lapse allowed anyone on the internet to download customer records from Vetco’s website without needing a user’s login information. At least one customer record was exposed and indexed by Google, allowing anyone to find the data by searching for it.</p>
<div class="lb-trans"><p>安全漏洞使得任何互聯網用户都可以在不需要用户登錄信息的情況下，從 Vetco 的網站下載客户記錄。至少有一份客户記錄被曝光並被谷歌索引，任何人都可以通過搜索找到這些數據。</p>
</div><p>The customer records, seen by TechCrunch, included visit summaries, medical histories, and prescription and vaccination records, among other files relating to Vetco customers and their pets.</p>
<div class="lb-trans"><p>TechCrunch 看到的客户記錄包括訪問摘要、醫療歷史、處方和疫苗接種記錄，以及與 Vetco 客户及其寵物相關的其他文件。</p>
</div><p>The files also contained customer names; their home address, email address, and phone number; the location of the Vetco clinic where the services were performed; medical assessments, tests and diagnoses; and the costs of goods, names of veterinarians, consent forms, owner signatures, and dates of service.</p>
<div class="lb-trans"><p>這些文件還包含客户姓名、家庭地址、電子郵件地址和電話號碼；提供服務的 Vetco 診所位置；醫療評估、測試和診斷；商品費用、獸醫姓名、同意書、主人簽名和服務日期。</p>
</div><p>We also found animal names, species and breed, their sex, age and date of birth, their microchip number (if registered), their medical vitals, and prescription records in the files.</p>
<div class="lb-trans"><p>我們還在文件中發現了動物的名字、物種和品種、性別、年齡和出生日期、微芯片號碼（如果已註冊）、醫療指標和處方記錄。</p>
</div><p>TechCrunch alerted Petco to the security lapse on Friday after discovering the vulnerability. The company acknowledged the data exposure days later on the following Tuesday after TechCrunch followed-up by attaching several exposed customer files to our email.</p>
<div class="lb-trans"><p>TechCrunch 在週五發現漏洞後提醒了 Petco。該公司在接下來的週二承認了數據曝光，幾天後在 TechCrunch 跟進時附上了幾份曝光的客户文件。</p>
</div><p>Petco spokesperson Ventura Olvera told TechCrunch late on Tuesday that the company has “implemented, and will continue to implement, additional measures to further strengthen the security of our systems,” though the company did not provide evidence for the claim.</p>
<div class="lb-trans"><p>Petco 發言人 Ventura Olvera 在週二晚間告訴 TechCrunch，公司 “已實施並將繼續實施額外措施，以進一步加強我們系統的安全性”，儘管公司沒有提供該聲明的證據。</p>
</div><p>Olvera would not say if the company has the technical means, such as logs, to determine if any data was extracted from the company’s systems during the course of the data spill.</p>
<div class="lb-trans"><p>Olvera 未透露公司是否具備技術手段，例如日誌，以確定在數據泄露過程中是否有任何數據被提取。</p>
</div><h2>How TechCrunch found the data spill</h2>
<div class="lb-trans"><h2>TechCrunch 如何發現數據泄露</h2>
</div><p>TechCrunch identified a vulnerability in how Vetco’s website generates copies of PDF documents for its customers.</p>
<div class="lb-trans"><p>TechCrunch 識別出 Vetco 網站在生成客户 PDF 文檔時存在的漏洞。</p>
</div><p>Vetco’s customer portal, located at <code>petpass.com</code>, allows customers to log in and obtain veterinary records and other documents relating to their pet’s care. But TechCrunch found that the PDF generating page on Vetco’s website was public, and not protected with a password.</p>
<div class="lb-trans"><p>Vetco 的客户門户網站位於<code>petpass.com</code>，允許客户登錄並獲取與其寵物護理相關的獸醫記錄和其他文件。但 TechCrunch 發現，Vetco 網站上的 PDF 生成頁面是公開的，沒有密碼保護。</p>
</div><p>As such, it was possible for anyone on the internet to access sensitive customer files directly from Vetco’s servers by modifying the web address to input a customer’s unique identification number. Vetco customer numbers are sequential, which means one could access other customers’ data simply by changing a customer number by one or two digits.</p>
<div class="lb-trans"><p>因此，任何互聯網用户都可以通過修改網址輸入客户的唯一識別號碼，直接從 Vetco 的服務器訪問敏感客户文件。Vetco 客户號碼是順序的，這意味着只需將客户號碼更改一到兩個數字，就可以訪問其他客户的數據。</p>
</div><p>TechCrunch checked at intervals of 100,000 customers to determine how many records may have been exposed in total. The sequential customer numbers suggest that millions of Petco customers’ information could have been retrieved.</p>
<div class="lb-trans"><p>TechCrunch 以每 100,000 個客户為間隔檢查，以確定可能暴露的記錄總數。順序客户號碼錶明，數百萬 Petco 客户的信息可能已被檢索。</p>
</div><p>The bug is classed as an insecure direct object reference (or IDOR), a common lapse in security practices that allows unfettered access to files on a server because there aren’t proper checks in place to make sure the person accessing the data is permitted to.</p>
<div class="lb-trans"><p>該漏洞被歸類為不安全的直接對象引用（IDOR），這是安全實踐中的常見失誤，允許對服務器上的文件進行無限制訪問，因為沒有適當的檢查來確保訪問數據的人是被允許的。</p>
</div><p>It’s not clear how long these customer records have been left exposed, but the customer record listed on Google was dated mid-2020.</p>
<div class="lb-trans"><p>目前尚不清楚這些客户記錄暴露了多長時間，但谷歌上列出的客户記錄日期為 2020 年中期。</p>
</div><h2>Third Petco breach this year</h2>
<div class="lb-trans"><h2>今年 Petco 的第三次數據泄露</h2>
</div><p>By TechCrunch’s count, this is Petco’s third data breach in 2025.</p>
<div class="lb-trans"><p>根據 TechCrunch 的統計，這是 Petco 在 2025 年的第三次數據泄露。</p>
</div><p>Earlier this year, hackers associated with the Scattered Lapsus$ Hunters hacking collective allegedly stole reams of data from a database of customer information that Petco hosts with cloud giant Salesforce. The hackers demanded victim companies pay a ransom to not have their information leaked.</p>
<div class="lb-trans"><p>今年早些時候，與 Scattered Lapsus$ Hunters 黑客組織相關的黑客涉嫌從 Petco 與雲巨頭 Salesforce 共同託管的客户信息數據庫中竊取大量數據。黑客要求受害公司支付贖金，以避免其信息被泄露。</p>
</div><p>In September, Petco disclosed a second data breach involving a security issue that the company said it discovered on its own. Petco blamed the data leak on “a setting within one of our software applications that inadvertently allowed certain files to be accessible online,” but did not provide specific details of the incident.</p>
<div class="lb-trans"><p>在九月份，Petco 披露了第二次數據泄露，涉及公司自發現的安全問題。Petco 將數據泄露歸咎於 “我們的一款軟件應用程序中的設置不小心允許某些文件在線可訪問”，但未提供事件的具體細節。</p>
</div><p>That data breach included sensitive customer information, such as Social Security numbers, driver’s licenses, and financial information, including debit and credit card numbers.</p>
<div class="lb-trans"><p>該數據泄露包括敏感客户信息，如社會安全號碼、駕駛執照和財務信息，包括借記卡和信用卡號碼。</p>
</div><p>Olvera declined to say how many people are affected by the September incident, but California law requires companies to disclose data breaches publicly when the number of victims in the state crosses 500 people.</p>
<div class="lb-trans"><p>Olvera 拒絕透露九月份事件影響了多少人，但加州法律要求公司在受害者人數超過 500 人時公開披露數據泄露。</p>
</div><p>TechCrunch believes this latest data leak involving Vetco is a separate security incident, given that Petco began notifying its customers of the previous data leak several months ago.</p>
<div class="lb-trans"><p>TechCrunch 認為，這次涉及 Vetco 的最新數據泄露是一起獨立的安全事件，因為 Petco 幾個月前就開始通知客户之前的數據泄露。</p>
</div>

Petco 在客户個人信息泄露後關閉了 Vetco 網站