國泰航空今日公佈，已接獲全球旅遊科技公司 Amadeus IT Group, S.A. 的通報，指該公司系統遭未獲授權人士登入，波及國泰航空相關預訂資料。事件涉及約5萬3千宗預訂，並有個人資料被存取，對數萬名乘客構成私隱風險。
事件時間線
Amadeus 系統於2023年8月至2026年9月期間，被發現有未獲授權人士使用系統帳户的登入憑證，擅自存取其系統內的旅遊訂位資料，當中包括與國泰航空相關的訂位紀錄。
國泰航空於星期三接獲 Amadeus 的通報，其後於星期四獲得進一步詳情。
涉及資料範圍
被存取的約5萬3千宗預訂資料，主要涉及預訂參考編號、乘客姓名及航班資料。
其中小部分個案涉及額外的個人資料被存取，包括但不限於聯絡電郵及電話、旅遊證件資料或飛行常客計劃號碼等。
Amadeus 表示，目前未有證據顯示有財務或付款相關資料被不當存取，亦未發現受影響資料遭不當使用的證據。
應對措施
Amadeus 確認已採取應對行動，包括重設密碼，並已加強系統的監察及偵測能力。
國泰航空表示，事件對其自身系統及營運並無影響，已就事件通知有關當局，正展開調查，待確立相關詳情後，將個別聯絡受影響顧客。國泰對顧客造成的憂慮及不便深表歉意。
監管缺口引關注
值得注意的是，此次入侵發生於2023年8月至2026年9月，橫跨超過三年的時間，卻遲遲未被察覺，直至 Amadeus 自行發現並通報。這段漫長的「盲區」期間，乘客的個人資料在不知不覺中被存取，其間的監控及預警機制存在明顯缺口。
對乘客而言，涉及旅遊證件資料的洩露尤為敏感，可能被用於身份冒用或其他不法用途。受影響的乘客應留意來自航空公司或有關當局的正式通知，並密切關注自身帳户及信貸狀況，及早發現任何異常活動。
對負責儲存大量客户資料的第三方供應商而言，保障系統安全是其基本責任。事件暴露出第三方服務供應商在安全監控、異常偵測及即時通報機制上的不足，值得業界及監管機構審視。
—— 連線日報主編 志遠
