【國泰資料外洩】供應商 Amadeus 遭入侵　5.3萬宗預訂外洩　官方稱無涉財務資料

國泰航空10月30日發出聲明，指接獲環球旅遊科技服務供應商 Amadeus 通報，指該公司系統遭未獲授權人士利用帳號登入憑證擅自存取，涉及約5.3萬宗與國泰相關的預訂資料外洩。據報道，未獲授權存取發生於2023年8月至2026年9月期間，涵蓋逾兩年時間，涉及資料主要為預訂參考編號、乘客姓名及航班資料，其中小部分個案亦涉及聯絡電郵、電話、旅遊證件資料及飛行常客計劃號碼。國泰強調，暫未有證據顯示有財務或付款相關資料被不當存取，公司本身的營運及訂票系統並未受影響。

【長達兩年未察覺】入侵橫跨2023至2026年 供應鏈資安現漏洞

今次事件最令人關注之處，在於未獲授權存取的時間跨度長達逾兩年 — 由2023年8月開始，一直到2026年9月才被發現，期間外界完全無從得知有外洩風險存在。據報道，國泰在10月28日接獲 Amadeus 通報系統遭入侵，翌日（10月29日）再獲對方提供進一步細節，確認涉及國泰相關的訂位紀錄，國泰隨即在10月30日對外公布事件。Amadeus 作為全球主要旅遊科技服務供應商，為多間航空公司提供訂位及分銷系統，今次入侵手法是不法分子利用該公司系統帳號的登入憑證，擅自存取旅遊訂位紀錄資料庫。由發現到公開披露僅相隔兩日，反映涉事公司在對外溝通上尚算迅速，但入侵本身長期未被偵測，仍暴露供應鏈資安監察存在明顯缺口。

【外洩資料分級】多數僅涉基本資料　少部分觸及證件及會員編號

根據國泰公布的資料，今次外洩的5.3萬宗預訂資料並非全部涉及同等級別的敏感資料。大部分受影響記錄只包含預訂參考編號、乘客姓名及航班資料等相對基本資訊；但有小部分個案涉及更具敏感性的資料，包括聯絡電郵地址、電話號碼、旅遊證件資料（例如護照資料），以及飛行常客計劃（例如馬可孛羅會）會員編號。國泰同時澄清，暫未發現任何證據顯示信用卡或其他付款相關資料遭不當存取，而公司自身的訂票及營運系統亦未受波及，問題源頭純粹來自第三方供應商 Amadeus 一方。不過有網絡安全專家提醒，即使只是姓名、航班資料及預訂編號外洩，亦足以被不法分子用作製作極具說服力的釣魚電郵或詐騙電話，假冒航空公司身份誘騙乘客提供更多個人資料，受影響乘客仍需提高警覺。

【國泰最新應對】承諾個別通知受影響客戶　調查仍在進行中

國泰在聲明中表示對事件深感抱歉，並確認正就今次外洩事件展開調查，一旦確認受影響客戶身份及具體外洩資料範圍後，會個別聯絡並通知受影響客戶，同時已將事件通知相關當局。據報道，Amadeus 方面亦已採取應對行動，包括重設相關帳號密碼，並加強系統監察及偵測能力，目前未發現有證據顯示外洩資料已遭不當使用或在外流傳。值得留意的是，今次並非單一航空公司個案 — 據公開資料顯示，日本航空披露約9.2萬名客戶資料受影響，全日空則指多達3.78萬名乘客資料外洩，大韓航空及德國凌漢莎旗下的 Condor 航空亦相繼公開類似事件，顯示今次 Amadeus 系統遭入侵的影響範圍橫跨多間國際航空公司，並非單純針對國泰而來。

作為背景參考，國泰在2018年曾發生更大規模的資料外洩事件，當時涉及約940萬名乘客個人資料，規模遠超今次5.3萬宗預訂的範圍，兩者性質及規模不應混為一談。今次事件再次提醒整個航空業，隨著訂位、分銷及會員管理愈趨依賴第三方科技供應商，資安防線已不能單靠企業自身系統把關，供應鏈上任何一環的安全漏洞，最終都可能由終端乘客的個人資料來承受後果。對受影響旅客而言，密切留意國泰後續個別通知，並對任何自稱來自航空公司的電郵或電話保持警覺，將是未來一段時間的必要功課。

免責聲明：本專頁刊載的所有投資分析技巧，只可作參考用途。市場瞬息萬變，讀者在作出投資決定前理應審慎，並主動掌握市場最新狀況。若不幸招致任何損失，概與本刊及相關作者無關。而本集團旗下網站或社交平台的網誌內容及觀點，僅屬筆者個人意見，與新傳媒立場無關。本集團旗下網站對因上述人士張貼之資訊內容所帶來之損失或損害概不負責。