Amadeus订票数据泄露波及新加坡航空4.6万条记录，各航司忙于评估损失

《海峡时报》11月3日报道，在旅游技术供应商Amadeus的泄露事件中，新加坡航空约46000条订票记录被非法访问。按这一数字，新航是目前已披露的受影响航司中规模最大的之一。消息传出三天前，国泰航空刚把自己的数字定为53000条订票记录。

《曼谷邮报》10月30日报道了国泰的数字，IDNFinancials在同一周做了转载。两家航司都没有说明攻击者究竟拿到了哪些字段。Amadeus也没有公布关于漏洞的技术说明。各家航司的披露模式如出一辙：每一家都只交代一套并不由自己掌控的共享订票系统中的一部分。国泰的53000条和新航的46000条都是订票记录，未必等同于乘客人数。在不知道各家如何统计一条记录之前，这两个数字无法直接比较。迄今每一次披露都漏掉了同一件事：到底哪些数据字段被读取了。

据Airways Magazine 11月2日报道，澳洲航空确认正在调查订票数据可能暴露的情况。《曼谷邮报》11月1日报道，马来西亚航空告知客户他们可能受到影响。PenangToday和KLSE Screener都刊登了该航司的声明，称其自有IT系统未受影响。

这一区分很重要：该航司称问题出在供应商一侧，不在自己的网络内部。在InfotechLead等媒体的报道中，日本航空也出现在受影响航司名单里。目前没有公布它的订票记录数字。首批披露过去九天，公开的账目仍然只是部分。

三年时间，一个漏洞

最触目惊心的细节是持续时间。PYOK 10月30日报道，这家为数百家国际航空公司管理订票的软件供应商，其泄露已持续三年。Shattered.io称该漏洞使38个月的航空数据处于风险之中。据NST Online 11月2日报道，Amadeus此后已修复该漏洞。

该公司没有解释这段访问为何长期未被发现。也没有任何媒体公布根本原因。

“供应商网络风险成为焦点，Amadeus泄露波及全球航空公司”，这是Insurance Business 11月2日的标题，它呈现故事的角度，正是保险市场开始采用的角度。

这个角度并非修辞。订票平台夹在航空公司和它的客户之间。它存有护照号码、联系方式和行程信息，每一家接入它的航司都能访问这些数据。它一旦出问题，故障不会只局限在一个品牌之内。从它那里购买服务的航司继承了这份风险，却从未自己持有这些数据。

航司如何告知乘客

据VnExpress International和《曼谷邮报》等媒体的报道，马来西亚航空在泄露后向客户发出了警告。据Airways Magazine报道，澳航在11月2日仍称其调查处于初步阶段。当时该公司尚未确认任何暴露的范围。News.com.au 11月2日报道，澳航及其他主要航空公司被卷入这起事件。News24同日报道，进出澳大利亚机场的航司受到影响。

Business Traveller 11月2日的文章回应了乘客真正关心的问题：他们的航班信息是否被访问。

对旅客来说，实用建议没有变化，也不怎么好听。要警惕引用真实订票编号的钓鱼信息，因为那正是眼下在流传的数据。Amadeus和本文提到的航司都没有披露总共涉及多少条记录。任何单一数字都只是一家航司的统计，不是事件的规模。Travel Daily News International 11月3日报道，Paxport和ITT发布了一份关于航司互联风险的指南。行业的应对正转向采购清单，而不是事件细节。

尚未解答的是合同问题。航空公司从少数几家供应商那里购买订票服务。新航和国泰的披露显示，一家供应商的漏洞多快就会变成多家航司的披露事件。Amadeus和调查机构尚未公布从第一次未授权访问到修复之间发生了什么。在他们公布之前，38个月这个数字仍是整篇报道中最严重、也最缺乏解释的事实。