Amadeus预订系统漏洞：各家航空公司目前披露了什么

《海峡时报》11月3日报道，新加坡航空这46000条记录与Amadeus的漏洞有关。事件已发酵数日，这是其中最新的一个确切数字。它也最清楚地说明，这不是某一家航空公司的事故，而是共同供应商的问题。

Amadeus运营的预订平台被数百家航空公司使用。多家报道称，该平台的一个漏洞在很长一段时间内未被发现。shattered.io称，暴露范围覆盖了38个月的航空公司数据。聚合报道中援引的PYOK则称这起泄露持续了三年。据NST Online 11月2日报道，Amadeus此后已修复该漏洞。目前仍然缺少一份权威的统一说明：到底有多少旅客受影响，具体被拿走了什么。每家航空公司都按自己的节奏、用自己的数字对外披露。有些公司强调自己的系统未受影响。

国泰航空与53000条预订

在较大的航空公司中，国泰航空最先给出数字：据《曼谷邮报》11月2日报道，有53000条预订受到影响。IDNFinancials和Aviation A2Z也报道了这一数字。这一披露将事件定性为对供应商而非对航空公司本身的网络攻击。这关系到旅客应如何理解这些通知。

马来西亚航空的公开表态不同。据PenangToday 11月2日报道，该公司称其IT系统未受Amadeus漏洞影响。据《曼谷邮报》报道，它承认客户仍可能被卷入其中。《星报》援引该公司的话说，尽管供应商发生网络安全泄露，其自身系统并未被攻破。

这两份声明并不矛盾，但很容易被误读。航空公司自己的基础设施可以是干净的，而它从供应商那里租用的预订层却未必。与此同时，据Airways Magazine 11月2日报道，澳航仍在调查预订数据是否可能暴露。News.com.au将澳航与多家受此次泄露影响的大型航空公司列在一起。News24指出，进出澳大利亚机场的航空公司受到了影响。据11月2日发布的汇总报道，日本航空也出现在受影响航司之列。

为什么一个供应商能触及这么多航空公司

预订系统是航空公司IT中最不显眼、也最共用的一环。旅客从一个品牌买票，但预订记录往往存放在由第三方运营的平台上，而这个平台同时服务几十个品牌。当这一层出问题，影响范围由供应商的客户名单决定，而不是由某一家航空公司的安全预算决定。

这正是Insurance Business 11月2日那篇标题背后的结构性问题。该文在泄露波及全球航空公司之际，把供应商网络风险推到焦点位置。PhocusWire同日报道，多家航空公司合作伙伴受到影响。这种模式在其他行业也很熟悉：最薄弱的一环，很少是登机牌上的那个品牌。

据NST Online报道，Amadeus已修复该漏洞，但此后数日里，各家航空公司的披露仍在陆续到来。

对旅客来说，实际问题要窄得多。哪些记录被打开过，里面包含哪些字段，一条被泄露的预订记录是否会带来欺诈或账户被盗的风险？目前大多数披露并未回答全部三个问题。国泰的53000和新加坡航空的46000是预订数量，不一定是人数。一条预订可以覆盖一个家庭。

还有一个时间问题。如果暴露真的持续了38个月，如shattered.io所报道，那么一些受影响旅客可能早已飞完并完全忘了那次行程。只通知近期客户的航空公司，可能让较早的客户毫不知情。其他场景下适用于部分平台运营商的180天通知期限，并不能直接套用到本案。现有报道都没有确立各家航空公司统一的通知标准。

披露节奏本身就是故事

看看时间线。据《南华早报》报道，国泰的数字大约在10月30日出现。马来西亚航空的声明在11月1日和2日发布。澳航在11月2日仍在调查。新加坡航空的46000在11月3日到来。这是一次缓慢、错开的发布，每家航空公司都在校准自己的说法。没有人公布过合并统计。

Business Traveller在11月2日提问：黑客是否访问了航班信息？这是大多数旅客真正关心的问题。根据公开记录，诚实的答案是：在有些航空公司，是的，以某种形式；在另一些公司，调查仍在进行。据KLSE Screener和PenangToday报道，马来西亚航空坚称其系统未受影响，这提醒我们，这类报道中的“受影响”可以有几种不同含义。

这些都不是旅游业独有的。同样的第三方集中风险也出现在支付、薪酬和云托管领域。航空公司预订的特别之处在于数据：姓名、联系方式、行程，有时还有更多。这些数据属于数以百万计从未选择过该供应商的人。

Amadeus尚未公布事件的完整说明。在它公布之前，数字还会一家航空公司接一家航空公司地出现。