航空公司之后下一个是谁？亚洲数据泄露事件引发广泛网络安全担忧

一个系统漏洞，让二十多万份机票订单在三年多的时间里暴露在陌生人眼前。

最近两周，亚洲航空业接连传出数据泄露的坏消息。日本航空、全日空、国泰航空、新加坡航空、大韩航空、韩亚航空、马来西亚航空等多家航司先后确认，旅客订票信息遭到未经授权的访问。

它们有一个共同点：都使用了西班牙旅游科技巨头艾玛迪斯（Amadeus）提供的订座系统。

这场连锁反应，正在把航空业长期被忽视的供应链网络安全风险，推到聚光灯下。

艾玛迪斯是全球航空业不可或缺的“隐形基础设施”。它为航空公司提供订座、出票和值机等平台，把一百多家航空公司与票务销售渠道连接在一起。

正因为如此，它一旦出问题，波及面就像推倒了一排多米诺骨牌。

艾玛迪斯在10月发表声明承认，其旅行订座显示环境存在一个软件问题，导致部分订座显示数据可被访问。

从各航司披露的信息看，外部访问的痕迹最早可追溯到2023年8月10日，一直持续到2026年9月23日，前后长达三年多。

日本航空是最早公开此事的航司之一，约9.2万名客户的预订信息遭到访问。全日空随后表示，最多约3.78万名旅客的信息外泄，其旗下合作航司AIRDO也受到波及。

国泰航空称，约5.3万笔订单受影响，大部分记录包含订票编号、旅客姓名和航班信息，其中一小部分还可能涉及电邮、电话和旅行证件资料。

新加坡航空11月3日确认，约4.6万条订票记录被访问，其中约620条含有其常旅客计划的会员信息。

大韩航空、韩亚航空、马来西亚航空以及德国神鹰航空也相继确认中招，澳洲航空则表示正在调查自身订单是否受到影响。

据业内统计，全球受影响的订票记录已超过20万条，涉及的航空公司至少有十余家。

最坏的情况避免了，但风险并未消失

不幸中的万幸是，目前各方都表示没有证据显示支付或金融数据遭到窃取。

艾玛迪斯强调，在修补漏洞之后，公司已加强监控和检测能力，调查仍在持续。多家航司也表示，自身的内部系统和数据库并未被攻破。

但这并不意味着旅客可以高枕无忧。

姓名、订票编号、行程和舱位等级看似零散，一旦被拼凑在一起，就构成了一份相当精准的“个人出行档案”。

犯罪分子可以借此冒充航空公司客服，发送“航班变更”“退款补偿”等钓鱼信息，诱骗旅客点击恶意链接或交出银行卡信息。

打个比方，这就像小偷没有偷走你的钱包，却拿到了你家的门牌号和作息时间表。

对于那些信息中还包含旅行证件资料的旅客来说，风险更高一层，身份冒用和精准诈骗的可能性都会随之增加。

而且，这批数据的泄露窗口横跨三年多，其中许多旅客早已完成旅行，甚至根本不记得自己当年订过哪一班航班，这让他们在面对诈骗信息时更难辨别真伪。

为了降低风险，新加坡航空已为受影响的旅客重新生成订票编号，并提醒乘客对任何声称与此事相关的陌生信息保持警惕，一律通过官方网站或客服渠道核实。

航空业的“阿喀琉斯之踵”在哪里

这起事件暴露出的，是现代航空业高度依赖少数技术供应商的结构性隐患。

一家航空公司或许可以把自家的防火墙修得固若金汤，但只要上游供应商出现缺口，整个链条都会跟着失守。

韩亚航空在说明中提到，相关访问使用的是分配给艾玛迪斯系统账户的登录凭证。这意味着，账户权限管理这类看似基础的环节，同样可能成为攻击者的突破口。

更令人不安的是时间跨度。漏洞存在三年多才被发现，说明行业的威胁检测能力仍有明显短板。

事实上，航空业早在2025年初就已处于高度戒备状态。当时安全专家警告，以“散落蜘蛛”为代表的黑客团伙正试图渗透航空公司的核心数据库。

亚洲航司之所以成为此次事件的“重灾区”，一方面是因为它们对艾玛迪斯系统的依赖程度较高，另一方面也与亚洲航空市场近年来客流快速恢复、数据量激增有关。

首先，各地的个人数据保护监管机构很可能介入调查，评估航司和供应商是否及时履行了通报义务。一旦认定存在疏失，相关企业或将面临罚款和整改要求。

其次，航空公司与技术供应商之间的合同条款可能迎来重新审视。安全责任如何划分、事故损失由谁承担，都将成为谈判桌上的焦点。

再者，这起事件也会促使更多航司加大对“零信任”安全架构的投入，对供应商访问权限实行更严格的最小化管理和持续监测。

对于普通旅客而言，也有几件事值得留心：定期检查常旅客账户，开启双重验证，不轻信任何主动索要个人信息的“航空公司来电”。

在数字化程度越来越高的今天，一张机票背后连着的不只是航线和座位，还有一整条看不见的数据链。守住这条链，需要航司、供应商、监管者和旅客共同发力。