博客 详情

航司自有系统没被攻破，旅客信息还是泄露了

购票时，旅客往往需填写姓名、联系方式、证件号码及行程详情。但这些信息最终会流转多少个环节？恐怕很多乘客并不了解。

近期，国泰航空、日本航空、全日空等多家航空公司相继披露，部分乘客的预订记录遭遇未经授权的访问。这些航司的公告均指向同一家机构：全球旅游科技服务商Amadeus。

尽管航空公司自身的系统未被攻破，但乘客信息仍受波及。多家航司公布的受影响预订记录，覆盖2023年8月至2026年9月的时间段。

01、多家航司接连披露

10月28日，国泰航空接到Amadeus通知，称其系统中部分乘客预订记录遭未授权访问，涉及约5.3万条预订记录。

被访问的信息主要是乘客姓名、预订编号及航班详情，少数还可能包含邮箱、电话号码、旅行证件信息及常旅客号码。

日本航空与全日空随后也披露了相关情况。

日本航空集团约9.2万名乘客受到影响，其中约2000人的邮箱、电话号码、护照号码等额外个人资料可能被访问。

全日空则有约3.78万名乘客受影响，其中约1700人的额外个人信息可能被波及。

此外，大韩航空、韩亚航空、新加坡航空等也陆续发布了相关安全事件通告。

针对乘客关心的支付信息，国泰航空表示，目前无证据表明财务或支付数据被访问。Amadeus也指出，截至目前尚未发现相关数据被滥用。

02、航司未遭攻击，问题出在第三方系统

多家航司接连出现类似状况，问题究竟出在哪里？

此次被推至台前的是Amadeus。

这家全球知名的旅游科技服务商，为航空公司提供乘客服务系统（PSS），涵盖航班预订、出票、值机等流程。简单来说，乘客在航司官网或其他渠道购票时，背后可能就有Amadeus这样的公司提供系统支持。

根据国泰航空披露的信息，此次未授权访问发生在Amadeus的系统中，涉及被非法使用的系统账户登录凭证。

日本航空和全日空也确认，相关预订信息是在该平台提供的系统中受到波及。

Amadeus表示，已发现旅行预订展示环境存在漏洞，并采取了修复措施，加强了系统监控与检测。不过，Amadeus尚未进一步披露漏洞的具体成因，以及相关系统账户凭证如何被利用，事件调查仍在进行中。

换言之，航司的预订、出票和服务流程，并非全部由自有系统独立完成。当多家航司使用同一家技术供应商的系统时，供应商的安全问题就可能同时波及多个客户。

03、订单信息泄露，乘客需警惕什么？

姓名、航班日期、预订编号、联系方式……这些信息单独看似乎无关紧要，但若被组合利用，风险便会升级。

例如，诈骗者掌握了乘客的真实航班信息后，可能冒充航空公司客服，发送航班变更、退改签或行程确认通知，进而诱导乘客点击链接、提供验证码或其他个人资料。

目前，国泰航空等航司表示，尚未发现相关数据被滥用，并提醒乘客警惕可疑邮件、电话和网站。

对航空公司而言，此次事件也带来了一个现实问题：当订票、值机、会员管理等业务越来越依赖第三方技术公司时，数据安全该如何把控？

一家技术供应商可同时服务多家航空公司，帮助航司提升运营效率。但当供应商的系统出现问题，受影响的可能也不止一家企业。

长期以来，航司谈数字化，更多关注系统效率、服务体验与运营成本。如今，如何管理好第三方系统、保护乘客数据，也成了绕不开的课题。

毕竟，乘客并不会关心自己的预订信息究竟存储在哪家公司的系统里。对他们而言，机票是向航空公司购买的，个人信息也是交给航空公司的。

一旦出现问题，首先受到考验的，仍然是航司与乘客之间的信任。

本文来自微信公众号“环球旅讯”，作者：罗銮銮，36氪经授权发布。