近日，浙江温州市公安局破获一起特大黑客攻击窃取国内航空公司网站信息案件。在该案中，国内50多家民用航空类公司网站遭到黑客入侵，30多万条航空票务类公民信息和大量账号、密码信息被窃取。
个人航班信息为何屡遭泄露?一张机票从预定到经手航空公司，从在线订票网站到机票代理商，究竟是哪个环节存在如此巨大的漏洞?
演员刘涛直言“太可怕”
“尊敬的××旅客，您好!您乘坐的航班因机械故障(天气原因)已被取消，请及时联系客服专员办理退票或改签。”这是不久前，来自广州的龙先生收到的一则短信，当时他正在云南丽江出差，正准备返程回家。
短信上还写着，“改签需补交20元手续费，另外每位旅客补充300元延误金。落款首都航空。”心生怀疑的龙先生致电首航的官方客服确认，后证实并无此事。尽管识破了骗子的伎俩，但他仍觉得闹心。“怎么刚定的航班，诈骗短信就来了?”
和龙先生一样，不少人都有这样的困扰。10月30日，知名演员刘涛在微博上晒出两张密密麻麻的明星航班信息图，直呼“每次看到行程信息这样被肆意泄露，真是太可怕了。”
订票一次或至少3人知道
在上海某旅行社从事票务工作十多年的傅瑞德告诉南都记者，这类诈骗短信通常会附上链接，名义上是让乘客点击改签付费，其实是为了收集信用卡信息。傅瑞德表示，航班发生变动，应该是航司通过官方号码给乘客发送消息，并且这样的改签是免费的。“另外300元延误金，哪有这么好拿，还主动给你?”
傅瑞德所在的公司是携程的供应商，“干我们这行经常能碰到明星，知道很多明星的证件信息”。
看到明星的航班信息被随意晒出，甚至有疯狂粉丝同乘包下头等舱等信息，傅瑞德并不觉得稀奇———因为一张机票信息很轻易就能被泄露了。
比如一家旅行社是某大经纪公司的定点机票代理商，该旅行社就能知道这家经纪公司所有艺人的机票信息。旅行社里只要有人把这些信息卖给别人，明星的信息就会满天飞，几乎无法防范。
除此之外，一张机票从预定到出票，中间每一个环节也都有泄露的风险。当旅客在携程、去哪儿等预定了机票，为了追求利润最大化，平台可能转给代理，代理还可能再转交给另一个代理。
这样一来，从你提交机票订单开始，再到实际出票，可能经过2次中间商，涉及两家票务公司，这意味着，至少有三个人知道你的航班信息。
因泄露渠道多而举证难
基于航班信息可能泄露的环节诸多，导致个人信息泄露的受害者难以维权追责。南都记者查询裁判文书网发现，在多起航空信息泄露案件中，往往以原告举证不足而驳回起诉。
中国政法大学教授朱巍告诉南都记者，连在自己朋友圈中晒机票都可能泄露信息，所以要起诉平台或者航空公司，很难拿出具体的证据，因而导致追责难的问题。
比较特别的是，今年3月，北京的庞先生也因收到航班取消短信，而以侵犯隐私权起诉去哪儿网和东航公司，北京市一院二审认为两家公司存在泄露庞先生隐私的可能性高，故而要求他们十日内在其官方网站首页以公告形式向原告赔礼道歉。
南都记者注意到，针对取证难的问题，在今年6月1日正式实施的网络安全法明确了网络信息安全的责任主体，确立了“谁收集，谁负责”的基本原则。
事实上，“不管什么环节，只要有人就有可能泄露。我们业务员手上有大把客人证件信息，更多时候还需靠自律。”傅瑞德对南都记者表示。
链接
任何人只要有eTerm系统账号都可查航班信息
在接受南都记者采访时，国内航空专家林智杰曾表示，上述提到的黑客、机票代理商、中国民航信息集团(以下简称“中航信”)、航空公司、机场工作人员都可以通过各自的渠道和权限在eTerm系统上查询乘客的具体航班信息。
所以，尽管航班信息泄露源众多，但源头都指向了eTerm系统。
网上租售eTerm系统“小号”
所谓eTerm系统，通俗地说是指中航信旗下用于国内民航行业领域内的订位操作系统。据业内人士介绍，国内任何一个旅行社或者旅游网站(非航空公司自营网站)上查询预定机票，都是接入eterm进行操作，然后连接到航空公司系统的。
目前，除了春秋航空(40.020, 0.29, 0.73%)外，国内各大航空公司的订票系统，基本都使用中航信的eTerm系统，这是一套开放软件，任何人都可以下载。相当于航班信息的总后台，所有旅客的航班信息也都储存于此。
通常，旅行社或机票代理需要购买账号才能登录eTerm系统。但北京某经理级的票务代理告诉南都记者，一家票务代理公司只需要购买一个eTerm账号，就可以利用某种分号软件衍生出若干个“小号”，无论“大号”“小号”，都可以登录中航信的数据库。
值得一提的是，有不少经销商会把分出来的“小号”进行出租、售卖。
今年4月，南都记者曾调查发现，在网上以“eTerm系统出租”等关键字进行搜索，即可出现大量出租广告，声称可以“提取航班信息”、“查询明星行踪”。南都记者联系上一位出租账号的服务商，其声称500元便可买5万个流量，可查询包括部分航司的旅客信息、具体旅客的出行记录等。并且，记者亲测发现刚买的航班信息也可在该系统上查询到。也就是说，即便是普通人，知道账号就好比有了打开航班信息的钥匙，都可自行查询和独立使用了。
为分摊费用“大”账号化小
据悉，中航信一般只会发给经销商一个账号，那么这个“大”的账号为何会层层往下分出若干个登录账号呢?
据傅瑞德介绍，使用中航信的系统是要付费的，把登录账号进行二次分销可以平摊费用。
除了分摊费用，出借账号给代理人还可能得到更多生意。比如，代理人使用某旅行社的账号，那就需要找它出票。
一名业内人士表示，出租或售卖多余的账号主要好处还在于增加“流量”，通过这个账号购买的机票越多，航空公司给该账号的优惠力度也就越大。
然而，对于犯罪分子来说，有了这些登录账号，就等于有了航班信息的通行证，可以轻松获取旅客的航班信息。
基于这样的致命漏洞，中航信系统一直以来广受争议。去年10月，央视《焦点访谈》曾就此点名曝光中航信系统。
针对这个问题，中航信曾回应南都记者，早在2010年，对于代理人利用外挂平台的行为进行了坚决的清理，违规行为得到了有效控制。
作为一个天天捧着eTerm干活的人，傅瑞德盯着这个黑屏已有十几年。在eTerm的界面操作上，这么多年基本没有变化。
有专家建议，中航信应加强自身的信息系统防护，同时在查询和内部使用上应有更严格的管控制度。
傅瑞德认为，因为移动办公和涉及的代理人太多等问题，这或许只能在操作方便和保护信息上取得一个平衡。如果要保护信息安全，那么记录的信息就要加密，如此带来的可能是后续的一系列操作麻烦。“不过现在已经有简单的加密，当我提交预定的代号，别家旅行社是看不到乘客的证件号的，因为屏蔽了。
京公网安备11010502034432号