新加坡：近日，由於軟體供應商 Amadeus 發生數據泄露，約 4.6 萬條新加坡航空（SIA）的預訂記錄被非法訪問。
泄露的信息包括乘客姓名、預訂參考號（Booking Reference）和行程單，部分記錄可能還包含聯繫方式和 KrisFlyer 會員編號。
但問題來了：即便黑客拿不到密碼或信用卡詳情，他們能用這些信息做什麼？
CNA 採訪了網絡安全專家，探討被盜的航空公司預訂記錄如何被濫用，此前是否發生過類似事件，以及受影響的乘客該如何自我保護。
航空公司預訂記錄包含什麼？
根據新航在周二（11月3日）發布的媒體聲明，此次泄露訪問的數據包括乘客姓名、預訂參考號、旅行行程和訂票艙位。
在約 620 條受影響的記錄中，電子郵件地址、電話號碼、旅行證件詳情和 KrisFlyer 會員編號等額外信息也可能被訪問。
根據行程安排的不同，預訂記錄可能包含更多信息。Amadeus 官網顯示，這些記錄可能包括艙位等級、起飛和到達機場，以及通過旅行社預訂的酒店住宿、機場接送和租車等附加服務。
黑客如何濫用你的數據？
網絡安全專家告訴 CNA，最大的風險在於犯罪分子可能利用被盜的預訂信息實施極具欺騙性的詐騙。
掌握了乘客姓名、預訂參考號和行程單後，詐騙者可以冒充航空公司或旅行社發送電子郵件或簡訊。
例如，乘客可能會收到一條稱航班已取消或改期的消息，且其中準確包含了其目的地和旅行日期。這類消息很容易誘導乘客點擊釣魚連結，從而泄露密碼或信用卡詳情。
南洋理工大學計算與數據科學學院的張天偉（Zhang Tianwei）副教授表示：「短期內的風險是極高機率出現提及真實預訂信息的郵件、簡訊或電話詐騙——受影響的用戶可能會被誘騙交出憑據或銀行卡詳情。」
Protiviti 新加坡顧問 Bernard Tan 博士指出，雖然僅憑預訂信息無法直接進入銀行帳戶或會員帳戶，但「風險在於，熟悉的旅行細節會讓乘客信任那些原本會被質疑的詐騙信息」。
除了釣魚詐騙，犯罪分子還可能嘗試未經授權地訪問乘客的航班預訂或常旅客帳戶。
Tan 博士表示，根據航空公司的安全檢查機制，擁有預訂參考號和姓氏的人可能能夠檢索預訂信息，甚至嘗試更改或取消航班。
卡巴斯基（Kaspersky）亞太區董事總經理 Adrian Hia 表示，其他潛在風險還包括帳戶接管嘗試和身份欺詐，尤其是當電子郵件、電話或旅行證件詳情也被泄露時。
Hia 先生補充道，旅行行程可能會暴露個人何時不在家或參加特定活動，從而帶來隱私或物理安全風險。
此外，被盜的預訂信息可能會被出售給其他網絡犯罪分子，用於未來的攻擊。
「被泄露的個人信息通常不會立即被利用，而是被匯總成大型數據集，以極低的價格賣給其他威脅參與者，」Hia 先生說，「這些數據集可以與其他泄露事件的信息相結合，構建更完整的個人畫像，使隨後的攻擊嘗試更具說服力和有效性。」
張副教授同樣警告稱，被盜信息在泄露數月甚至數年後仍可能被濫用。
以前發生過這種情況嗎？
幾起涉及航空公司的事件表明，泄露的預訂詳情確實會為未經授權的訪問或更改創造機會，儘管並非所有數據泄露都導致了確認的欺詐。
2018年5月18日，宿務太平洋航空（Cebu Pacific）的在線預訂系統更新導致乘客能夠查看其他客戶的預訂詳情，包括姓名、參考號、飛行日期和目的地。根據菲律賓國家隱私委員會，在系統運行期間有 678 筆預訂被更改。隨後航空公司確定其中 332 筆是由匿名用戶操作的。
2024年1月，印度 IndiGo 航空的一名乘客報告稱，他為自己和家人預訂的 8 張機票在未經允許的情況下被取消。該乘客此前曾在社交媒體上就在線辦理登機問題聯繫航空公司。IndiGo 表示，他的預訂參考號在公開場合可見，認為詐騙者利用該號碼更改了預訂聯繫詳情後取消了機票。
雖然這兩起案例並非由 Amadeus 泄露引起，但它們說明了預訂信息被泄露後可能被如何利用。
收到新的預訂參考號，問題就解決了？
專家表示，並沒有完全解決。
儘管 Amadeus 確認此次泄露未導致任何預訂被更改，但新航仍出於預防措施，聯繫了有近期旅行計劃的受影響客戶，為其更換了預訂參考號。
預訂參考號是檢索航班預訂的唯一標識符。更換泄露的參考號可以防止通過舊號碼進行未經授權的訪問（前提是航空公司已將其作廢）。
張副教授表示：「新參考號可以阻止舊號碼被用於查詢、更改、取消預訂或辦理登機，也能防止他人冒充乘客。」
然而，Tan 博士指出，保護程度還取決於航空公司在允許訪問或修改預訂前要求的額外驗證步驟。
更重要的是，更改預訂參考號無法撤銷其他個人信息的泄露。
「知道乘客姓名、目的地和旅行日期的詐騙者仍然可以在冒充航空公司的消息中使用這些信息，」Tan 博士說，「新參考號有助於保障預訂安全，但無法拿回已經落在他人手中的個人信息。」
受影響的乘客該怎麼辦？
張副教授建議，乘客應格外警惕關於航班變更、取消、退款或要求額外付款的意外消息或電話，即使這些通信中包含準確的預訂詳情。
Tan 博士強調：「準確的預訂詳情並不能證明消息是真實的。」他建議乘客直接通過航空公司的官方網站、移動應用程式或客服熱線驗證意外請求，而不是點擊消息中的連結。
乘客還應檢查即將到來的預訂是否有未經授權的更改，並確保電子郵件和常旅客帳戶的安全。
Hia 先生建議護照或旅行證件信息被泄露的乘客，警惕身份相關的欺詐和可疑的帳戶開立，並監控常旅客帳戶的異常活動。
不過，並非所有情況都需要採取極端措施。Tan 博士表示：「除非有明確的濫用證據，或收到相關部門/服務提供商的建議，否則乘客無需立即更換護照或註銷信用卡。」
航空公司應如何保護乘客？
專家認為，航空公司應及時通知受影響客戶泄露了哪些信息，並採取措施防止被盜詳情被濫用。這些措施包括在適當情況下重新發行預訂參考號、監控可疑活動以及加強預訂更改前的驗證程序。
張副教授認為，航空公司應限制僅憑預訂參考號可訪問的信息量。
Hia 先生呼籲加強針對利用旅行信息進行釣魚攻擊的防禦，並對敏感的預訂更改增加驗證步驟。
除了保障自身系統，航空公司必須更加關注外部技術供應商的網絡安全實踐。
「這次事件凸顯了外部技術供應商的漏洞，即使是對像新加坡航空這樣以網絡安全強而著稱的組織，也會產生直接且重大影響，」他補充道。
隨著網絡犯罪分子越來越多地將目標轉向受信任的供應商和服務商，航空公司應加強對第三方供應商的監督，確保其安全標準與內部標準相當。
Tan 博士最後表示，保護乘客信息是航空公司、技術供應商和其他預訂合作夥伴的共同責任。
