國泰航空今日公布一宗涉及第三方服務供應商 Amadeus IT Group, S.A. 的個人資料保安事故，約53,000宗與國泰航空相關的預訂資料曾遭未獲授權人士存取。香港網絡安全事故協調中心（HKCERT）對此表示關注，並提醒市民提高警覺，以防騙徒利用航班資料冒充客服。
事件詳情
根據國泰航空的公告，該公司於10月28日接獲 Amadeus 的通報，並於10月29日獲得進一步資料。事件涉及未獲授權人士利用系統帳戶的登入憑證，擅自存取 Amadeus 系統內的旅遊訂位資料，當中包括國泰航空的訂位紀錄。
據 Amadeus 提供的資料，未獲授權存取發生於2023年8月至2026年9月，涉及約53,000宗國泰航空相關預訂。受影響的資料主要包括預訂參考編號、乘客姓名及航班資料，部分個案亦可能涉及聯絡電郵及電話、旅遊證件資料和飛行常客計劃號碼。
慎防詐騙風險
HKCERT指出，航空預訂資料具有較強的情境性，騙徒一旦掌握真實的乘客姓名、航班編號等資料，將增加冒充航空公司客服的可信性，令市民難以判斷對方身份的真偽。近期已出現騙徒利用外洩的航空旅客資料進行詐騙，甚至有受害人損失高達120萬港元。
HKCERT呼籲近期曾預訂相關航班的市民提高警覺，並提供以下建議：
- 不要單憑對方掌握個人或航班資料相信其身份。
- 透過官方渠道獨立核實信息，切勿使用對方提供的連結或聯絡方法。
- 切勿按指示提供敏感資料或轉帳，如要求提供密碼或一次性密碼（OTP）等。
如懷疑個人資料或帳戶已被濫用，市民應盡快更改相關帳戶密碼，並聯絡銀行、航空公司或相關機構。
機構應加強網絡安全管理
HKCERT表示，今次事件再次反映機構在使用第三方服務及處理客戶資料時，持續管理供應鏈網絡安全風險的重要性。機構應定期檢視所收集及保存的個人資料，並只保留必要的資料，避免不必要的資料外洩風險。
此外，機構應了解哪些服務供應商能夠存取客戶資料，並採用最小權限原則，定期檢視及撤銷不再需要的權限，以降低風險。
HKCERT再次提醒市民，即使對方能準確說出你的個人、航班或購物資料，也不代表其身份真實。如遇到退款、賠償或轉帳要求時，應先停止操作，再透過官方渠道核實真偽。
