國泰航空 公布一宗涉及第三方服務供應商 Amadeus IT Group, S.A.（Amadeus） 的個人資料保安事故。據國泰航空公布，約 53,000宗與國泰航空相關的預訂資料曾遭未獲授權人士存取。香港網絡安全事故協調中心（HKCERT）關注相關資料一旦被不法分子利用，可能增加冒充航空公司客服及針對性詐騙的風險，呼籲近期曾預訂相關航班的市民提高警覺。HKCERT亦得悉，事件可能涉及更多航空公司，相關情況仍有待進一步調查及確認。
HKCERT關注相關資料一旦落入不法分子手中，可能被利用進行具針對性的網絡釣魚及詐騙。近日香港已出現騙徒利用外洩的航空旅客及航班資料冒充航空公司客服的騙案，當中更有受害人損失120萬港元。 HKCERT呼籲近期曾預訂相關航空公司航班的市民提高警覺，即使對方能準確說出姓名、航班、目的地或預訂資料，亦不要單憑這些資料相信對方身分。
國泰航空 事件已知情況
據國泰航空公布，公司於10月28日接獲 Amadeus 通報，並於10月29日取得進一步資料。事件涉及未獲授權人士利用系統帳戶的登入憑證，擅自存取 Amadeus 系統內的旅遊訂位資料，當中包括國泰航空的訂位紀錄。
據 Amadeus 向國泰航空提供的資料，未獲授權存取發生於2023年8月至2026年9月，涉及約53,000宗國泰航空相關預訂。受影響資料主要包括預訂參考編號、乘客姓名及航班資料；小部分個案亦可能涉及聯絡電郵及電話、旅遊證件資料和飛行常客計劃號碼。
慎防外洩資料被利用進行針對性詐騙
HKCERT指出，航空預訂資料具有較強的情境性。騙徒一旦掌握真實的乘客姓名、航班編號、出發日期、目的地或預訂資料，可以利用這些資料增加冒充航空公司客服的可信性，令市民較難單憑訊息內容判斷對方身分真偽。
香港近期已出現騙徒利用航班資料冒充航空公司客服的個案。騙徒訛稱航班取消，並以安排退款、改乘其他航班或提供保險賠償等理由，誘使受害人登入虛假網站、開啟螢幕共享或進行轉帳。其中警方公布的一宗個案，一名退休人士最終損失120萬港元。
HKCERT因此提醒市民，掌握真實個人及航班資料並不等同身分證明。如收到有關航班取消、改期、退款或賠償的來電、電郵或短訊，應特別注意以下三點：
- 不要單憑對方掌握個人或航班資料相信其身分： 即使對方能準確說出姓名、航班、目的地或預訂編號，亦應保持警覺。
- 透過官方渠道獨立核實： 應自行開啟航空公司的官方網站或應用程式，或致電官方客服熱線核實，切勿使用對方提供的連結或聯絡方法。
- 切勿按指示提供敏感資料或轉帳： 如對方要求提供密碼或一次性密碼（OTP）、開啟螢幕共享、點擊不明連結，或以「退款驗證」等理由要求轉帳，應立即停止操作。
如懷疑個人資料或帳戶已被濫用，市民應盡快更改相關帳戶密碼，聯絡銀行、航空公司或相關機構，並留意帳戶有否異常登入或交易。如懷疑已墮入騙案，應立即向警方報案，並致電「防騙易服務熱線18222」尋求協助。
機構應加強第三方供應商網絡安全風險管理
HKCERT表示，今次事件亦再次反映機構在使用第三方服務及處理客戶資料時，持續管理供應鏈網絡安全風險的重要性。機構除加強自身系統防護外，亦應掌握第三方服務供應商可存取的資料及系統權限，並將網絡安全要求納入供應商管理及事故應變機制。
- 只收集及保留必要資料： 機構應定期檢視所收集及保存的個人資料，只保留提供服務及業務運作所需的資料，並按既定期限安全刪除不再需要的資料。
- 減少向第三方提供資料： 只向服務供應商提供履行服務所需的最少資料，避免第三方接觸與其職能無關的個人或敏感資料。
- 掌握第三方存取權限： 了解哪些服務供應商、系統及帳戶能夠存取客戶資料，採用最小權限原則，並定期檢視及撤銷不再需要的權限。
- 評估第三方網絡安全風險： 在委託第三方處理或儲存個人資料前及合作期間，應評估其資料保護、帳戶安全、存取控制及事故應變能力，並定期檢討相關安排。
- 建立事故通報及應變機制： 與第三方服務供應商訂立清晰的事故通報機制。一旦發現未獲授權存取或資料外洩，應盡快掌握受影響的資料種類、範圍及人士，並評估資料可能被用作網絡釣魚或詐騙的風險。
HKCERT再次提醒市民，即使對方能準確說出你的個人、航班或購物資料，也不代表其身分真實。如遇到退款、賠償或轉帳要求時，切勿點擊連結、分享螢幕或透露密碼及一次性密碼（OTP）。市民應先停止操作，再透過官方網站、應用程式或服務熱線獨立核實真偽。
免責聲明：本網頁刊載的所有投資技巧及分析，僅供參考用途。讀者作出任何投資決定前，要自行判斷及審慎處理，更要自行掌握市場最新變化。若不幸招致任何損失，概與本網頁及相關作者與受訪者無關，本網頁概不負責 。而本網頁所有專欄作者的觀點，不代表本媒體立場。