国泰航空约53,000条预订数据遭泄露 HKCERT呼吁市民提高警惕

国泰航空今日公布一起涉及第三方服务供应商 Amadeus IT Group, S.A. 的个人资料安全事件，约53,000条与国泰航空相关的预订数据曾被未获授权人士访问。香港网络安全事故协调中心(HKCERT)对此表示关注，并提醒市民提高警惕，以防骗子利用航班资料冒充客服。

事件详情

根据国泰航空的公告，该公司于10月28日接获 Amadeus 的通报，并于10月29日获得进一步资料。事件涉及未获授权人士利用系统账户的登录凭证，擅自访问 Amadeus 系统内的旅游订位资料，当中包括国泰航空的订位记录。

据 Amadeus 提供的资料，未获授权访问发生于2023年8月至2026年9月，涉及约53,000条国泰航空相关预订。受影响的数据主要包括预订参考编号、乘客姓名及航班资料，部分个案亦可能涉及联系邮箱及电话、旅行证件资料和飞行常客计划号码。

谨防诈骗风险

HKCERT指出，航空预订数据具有较强的场景性，骗子一旦掌握真实的乘客姓名、航班编号等资料，将增加其冒充航空公司客服的可信度，令市民难以判断对方身份的真伪。近期已出现骗子利用泄露的航空旅客资料进行诈骗，甚至有受害人损失高达120万港元。

HKCERT呼吁近期曾预订相关航班的市民提高警惕，并提供以下建议：

• 不要仅凭对方掌握个人或航班资料就相信其身份。
• 通过官方渠道独立核实信息，切勿使用对方提供的链接或联系方式。
• 切勿按指示提供敏感资料或转账，如要求提供密码或一次性密码(OTP)等。

如怀疑个人资料或账户已被滥用，市民应尽快更改相关账户密码，并联系银行、航空公司或相关机构。

机构应加强网络安全管理

HKCERT表示，此次事件再次反映机构在使用第三方服务及处理客户资料时，持续管理供应链网络安全风险的重要性。机构应定期检视所收集及保存的个人资料，并只保留必要的资料，避免不必要的数据泄露风险。

此外，机构应了解哪些服务供应商能够访问客户资料，并采用最小权限原则，定期检视及撤销不再需要的权限，以降低风险。

HKCERT再次提醒市民，即使对方能准确说出你的个人、航班或购物资料，也不代表其身份真实。如遇到退款、赔偿或转账要求时，应先停止操作，再通过官方渠道核实真伪。