新加坡：近日，由于软件供应商 Amadeus 发生数据泄露，约 4.6 万条新加坡航空（SIA）的预订记录被非法访问。
泄露的信息包括乘客姓名、预订参考号（Booking Reference）和行程单，部分记录可能还包含联系方式和 KrisFlyer 会员编号。
但问题来了：即便黑客拿不到密码或信用卡详情，他们能用这些信息做什么？
CNA 采访了网络安全专家，探讨被盗的航空公司预订记录如何被滥用，此前是否发生过类似事件，以及受影响的乘客该如何自我保护。
航空公司预订记录包含什么？
根据新航在周二（11月3日）发布的媒体声明，此次泄露访问的数据包括乘客姓名、预订参考号、旅行行程和订票舱位。
在约 620 条受影响的记录中，电子邮件地址、电话号码、旅行证件详情和 KrisFlyer 会员编号等额外信息也可能被访问。
根据行程安排的不同，预订记录可能包含更多信息。Amadeus 官网显示，这些记录可能包括舱位等级、起飞和到达机场，以及通过旅行社预订的酒店住宿、机场接送和租车等附加服务。
黑客如何滥用你的数据？
网络安全专家告诉 CNA，最大的风险在于犯罪分子可能利用被盗的预订信息实施极具欺骗性的诈骗。
掌握了乘客姓名、预订参考号和行程单后，诈骗者可以冒充航空公司或旅行社发送电子邮件或短信。
例如，乘客可能会收到一条称航班已取消或改期的消息，且其中准确包含了其目的地和旅行日期。这类消息很容易诱导乘客点击钓鱼链接，从而泄露密码或信用卡详情。
南洋理工大学计算与数据科学学院的张天伟（Zhang Tianwei）副教授表示：“短期内的风险是极高概率出现提及真实预订信息的邮件、短信或电话诈骗——受影响的用户可能会被诱骗交出凭据或银行卡详情。”
Protiviti 新加坡顾问 Bernard Tan 博士指出，虽然仅凭预订信息无法直接进入银行账户或会员账户，但“风险在于，熟悉的旅行细节会让乘客信任那些原本会被质疑的诈骗信息”。
除了钓鱼诈骗，犯罪分子还可能尝试未经授权地访问乘客的航班预订或常旅客账户。
Tan 博士表示，根据航空公司的安全检查机制，拥有预订参考号和姓氏的人可能能够检索预订信息，甚至尝试更改或取消航班。
卡巴斯基（Kaspersky）亚太区董事总经理 Adrian Hia 表示，其他潜在风险还包括账户接管尝试和身份欺诈，尤其是当电子邮件、电话或旅行证件详情也被泄露时。
Hia 先生补充道，旅行行程可能会暴露个人何时不在家或参加特定活动，从而带来隐私或物理安全风险。
此外，被盗的预订信息可能会被出售给其他网络犯罪分子，用于未来的攻击。
“被泄露的个人信息通常不会立即被利用，而是被汇总成大型数据集，以极低的价格卖给其他威胁参与者，”Hia 先生说，“这些数据集可以与其他泄露事件的信息相结合，构建更完整的个人画像，使随后的攻击尝试更具说服力和有效性。”
张副教授同样警告称，被盗信息在泄露数月甚至数年后仍可能被滥用。
以前发生过这种情况吗？
几起涉及航空公司的事件表明，泄露的预订详情确实会为未经授权的访问或更改创造机会，尽管并非所有数据泄露都导致了确认的欺诈。
2018年5月18日，宿务太平洋航空（Cebu Pacific）的在线预订系统更新导致乘客能够查看其他客户的预订详情，包括姓名、参考号、飞行日期和目的地。根据菲律宾国家隐私委员会，在系统运行期间有 678 笔预订被更改。随后航空公司确定其中 332 笔是由匿名用户操作的。
2024年1月，印度 IndiGo 航空的一名乘客报告称，他为自己和家人预订的 8 张机票在未经允许的情况下被取消。该乘客此前曾在社交媒体上就在线办理登机问题联系航空公司。IndiGo 表示，他的预订参考号在公开场合可见，认为诈骗者利用该号码更改了预订联系详情后取消了机票。
虽然这两起案例并非由 Amadeus 泄露引起，但它们说明了预订信息被泄露后可能被如何利用。
收到新的预订参考号，问题就解决了？
专家表示，并没有完全解决。
尽管 Amadeus 确认此次泄露未导致任何预订被更改，但新航仍出于预防措施，联系了有近期旅行计划的受影响客户，为其更换了预订参考号。
预订参考号是检索航班预订的唯一标识符。更换泄露的参考号可以防止通过旧号码进行未经授权的访问（前提是航空公司已将其作废）。
张副教授表示：“新参考号可以阻止旧号码被用于查询、更改、取消预订或办理登机，也能防止他人冒充乘客。”
然而，Tan 博士指出，保护程度还取决于航空公司在允许访问或修改预订前要求的额外验证步骤。
更重要的是，更改预订参考号无法撤销其他个人信息的泄露。
“知道乘客姓名、目的地和旅行日期的诈骗者仍然可以在冒充航空公司的消息中使用这些信息，”Tan 博士说，“新参考号有助于保障预订安全，但无法拿回已经落在他人手中的个人信息。”
受影响的乘客该怎么办？
张副教授建议，乘客应格外警惕关于航班变更、取消、退款或要求额外付款的意外消息或电话，即使这些通信中包含准确的预订详情。
Tan 博士强调：“准确的预订详情并不能证明消息是真实的。”他建议乘客直接通过航空公司的官方网站、移动应用程序或客服热线验证意外请求，而不是点击消息中的链接。
乘客还应检查即将到来的预订是否有未经授权的更改，并确保电子邮件和常旅客账户的安全。
Hia 先生建议护照或旅行证件信息被泄露的乘客，警惕身份相关的欺诈和可疑的账户开立，并监控常旅客账户的异常活动。
不过，并非所有情况都需要采取极端措施。Tan 博士表示：“除非有明确的滥用证据，或收到相关部门/服务提供商的建议，否则乘客无需立即更换护照或注销信用卡。”
航空公司应如何保护乘客？
专家认为，航空公司应及时通知受影响客户泄露了哪些信息，并采取措施防止被盗详情被滥用。这些措施包括在适当情况下重新发行预订参考号、监控可疑活动以及加强预订更改前的验证程序。
张副教授认为，航空公司应限制仅凭预订参考号可访问的信息量。
Hia 先生呼吁加强针对利用旅行信息进行钓鱼攻击的防御，并对敏感的预订更改增加验证步骤。
除了保障自身系统，航空公司必须更加关注外部技术供应商的网络安全实践。
“这次事件凸显了外部技术供应商的漏洞，即使是对像新加坡航空这样以网络安全强而著称的组织，也会产生直接且重大影响，”他补充道。
随着网络犯罪分子越来越多地将目标转向受信任的供应商和服务商，航空公司应加强对第三方供应商的监督，确保其安全标准与内部标准相当。
Tan 博士最后表示，保护乘客信息是航空公司、技术供应商和其他预订合作伙伴的共同责任。
