Amadeus数据泄露波及面扩大 新加坡航空确认4.6万条记录

这起事件可能暴露了2023年8月至2026年9月期间通过受影响航空公司订票者的姓名、行程和舱位等级。还有一小部分人的护照、电话和常旅客信息也被取走。没有一家航空公司公布合计总数。旅客只读一家的通知，看不出事件波及多远。Amadeus是否会自行发布范围说明、监管机构下一步怎么做，目前都还没有答案。

新加坡航空给出数字

4.6万条记录中约有620条暴露的信息更多。一位发言人告诉AsiaOne和《海峡时报》，未经授权的一方可能还访问了电子邮箱、电话号码、旅行证件信息和KrisFlyer会员号。

Amadeus已确认，事件没有暴露银行账户或信用卡信息，也没有改动任何订票。新加坡航空表示，事件局限在Amadeus平台内，没有人攻破该航司自己的IT系统。该航司正联系近期有出行安排的受影响客户，更换其订票参考号。它称已通知相关部门。

一个供应商，多家航司，没有总数

国泰航空称事件影响约53000条订票记录。其中大部分记录包含订票参考号、旅客姓名和航班信息。日本航空和日本越洋航空报告约92000名受影响客户。全日空给出的数字约为37800名客户，其中1700人的记录含额外个人信息。

马来西亚航空称，事件可能影响了2023年8月至2026年9月期间经Amadeus处理的信息，但没有给出客户数量。大韩航空和韩亚航空已报告未经授权访问，两家都没有说明涉及多少客户。澳洲航空尚未公布数字，称正与Amadeus合作，确认事件是否波及该公司任何旅客的订票信息。

这些数字加不起来，原因不在四舍五入。国泰统计的是订票数，日本两家航司统计的是客户数。一张订票可以包含多名旅客，加总也得不到可靠的旅客总数。

访问是如何发生的

按国泰航空的说法，未经授权的一方使用分配给Amadeus系统账户的登录凭证，进入了预订数据。Amadeus称是一个影响旅行订票展示环境的漏洞，该漏洞使部分订票展示数据可被访问。

该公司表示已修复漏洞，并加强了监控和检测。它还称没有证据表明有人访问了支付或财务数据，也没有发现有人利用该漏洞实施勒索软件攻击。

通知是分批发出的。国泰航空10月28日收到通知，次日收到更多细节。澳洲航空称，Amadeus告知该公司已在2026年9月控制住问题。澳洲航空表示自家系统和数据库仍然安全。

新加坡航空不是第一次

新加坡航空此前也遇到过类似情况。有报道称，Amadeus事件是该航司自2021年2月以来遭遇的第三起数据泄露。第一起就发生在2021年。航空运输IT公司Sita遭入侵，波及58万名KrisFlyer和PPS会员的会员号和等级状态。2022年，一起钓鱼攻击击中该航司的机上零售平台KrisShop，暴露了4749名客户的数据。

这次的4.6万条记录比2021年的数字小。区别在路径：这次数据放在一家被多家航司共用的供应商手里。

仍未确定的部分

所有航司合计的受影响客户总数仍然未知。马来西亚航空没有说明事件涉及多少客户，也没有说明涉及哪些类别的个人数据。Amadeus没有回应《海峡时报》关于事件影响多少数据的问题。各家航司的通知指向同一个供应商，但并不能说明每家航司用的是同一个受影响的应用程序或账户。

多家受影响航司提醒客户警惕可疑邮件、诈骗电话以及其他索要个人信息或财务信息的消息。Amadeus称调查仍在进行，正与客户和相关部门直接沟通。