航空公司官網(wǎng) “值機(jī)”系統(tǒng)可改他人座位

“不僅僅是第三方APP，就連很多航空公司官網(wǎng)都存在信息漏洞?！?月9日，一位兜售航班信息的商家介紹說(shuō)，“很多航空官網(wǎng)上，都能查到陌生人航班信息。”

為了證明“所言非虛”，他向記者發(fā)來(lái)一份“查詢指南”。指南稱，不同航空公司，存在著不同的查詢方法；“指南”上還詳細(xì)地標(biāo)明乘客在往返國(guó)內(nèi)幾個(gè)大城市之間時(shí)，所最常用的航空公司選擇名單。

5月9日，新京報(bào)記者登錄一家航空公司官網(wǎng)。按照上述流程指導(dǎo)，在輸入同事姓名以及身份證號(hào)后，網(wǎng)站沒(méi)有任何身份真假驗(yàn)證流程即轉(zhuǎn)跳到相應(yīng)航班頁(yè)面。

該頁(yè)面清楚地顯示出記者同事所預(yù)訂航班的飛行時(shí)間、飛行地點(diǎn)，以及所選擇的座位等信息。新京報(bào)記者還發(fā)現(xiàn)，當(dāng)點(diǎn)擊對(duì)方座位信息時(shí)，網(wǎng)站系統(tǒng)還提示可以進(jìn)行“退座重選”的操作。

“其實(shí)很多航空公司官網(wǎng)都存在或多或少的漏洞。”5月10日，一位航空行業(yè)資深人士說(shuō)，“通常航空公司只確定乘客姓名和身份證即可，但很少對(duì)手機(jī)進(jìn)行綁定，所以很多信息正是從這一漏洞泄露出去?！?/p>

新京報(bào)記者登錄幾家知名航空公司的官網(wǎng)也發(fā)現(xiàn)，在辦理登機(jī)流程時(shí)，只需要輸入相應(yīng)身份證和用戶姓名即可，并沒(méi)有通過(guò)注冊(cè)時(shí)所綁定的手機(jī)號(hào)進(jìn)行短信驗(yàn)證這一環(huán)節(jié)。

事實(shí)上，在多位“商家”傳授航班信息查詢方法時(shí)都特意叮囑，查詢者的姓名、身份證號(hào)碼可以隨便填寫(xiě)，但“務(wù)必要用自己的手機(jī)號(hào)碼”。其原因正是“方便提示輸入手機(jī)驗(yàn)證碼時(shí)，好用來(lái)接受短信”。

“很難想象這種大型航空公司會(huì)出現(xiàn)如此漏洞?！鄙鲜錾碳覍?duì)新京報(bào)記者說(shuō)，“一家航空公司會(huì)員有3000多萬(wàn)人，這給了我們極大的利益空間?！?/p>

當(dāng)記者向該商家咨詢每月以“查詢航班”的模式賺多少錢(qián)，他稱，“幾千到上萬(wàn)元”，“很多做得好的，每個(gè)月動(dòng)輒近十萬(wàn)元”。

■ 延伸

航空信息泄露渠道多 乘客維權(quán)取證難

“第三方APP以及官網(wǎng)所造成的信息泄露，只是整個(gè)航空行業(yè)冰山一角。如今航空信息泄露源頭實(shí)在太多?！?月10日，一位多年從事航空管理工作的人士稱，“泄密涉及環(huán)節(jié)太多，根本不清楚究竟是哪一環(huán)出現(xiàn)問(wèn)題?！?/p>

新京報(bào)記者在調(diào)查時(shí)發(fā)現(xiàn)，盡管信息泄露渠道繁多，但源頭指向了中航信Eterm系統(tǒng)。所謂Eterm系統(tǒng)，即為民航旅客訂座系統(tǒng)，其是中航信信息系統(tǒng)下屬系統(tǒng)之一。如今國(guó)內(nèi)各大航空公司的訂票系統(tǒng)，基本都使用的是中國(guó)民航信息集團(tuán)公司系統(tǒng)。而這款系統(tǒng)面向航空公司、機(jī)場(chǎng)、機(jī)票銷售代理等機(jī)構(gòu)，主要提供航空客運(yùn)業(yè)務(wù)、航空旅游電子分銷等服務(wù)。

作為中航信系統(tǒng)核心之一，Eterm系統(tǒng)不僅可以查到航班的座位預(yù)訂情況，還能詳盡地查閱到每班航班上的訂位編碼，乘客的座位、艙位、姓名、證件號(hào)、電話號(hào)碼等諸多隱私信息信息。

此前曾有國(guó)內(nèi)媒體報(bào)道稱，有權(quán)限查看并有可能泄露信息的源頭，主要有機(jī)票代理商、航空公司工作人員、中航信工作人員，以及黑客這四大類人群。他們通過(guò)不同渠道和權(quán)限，在Eterm系統(tǒng)上查到乘客詳細(xì)資料。

4月21日，《南方都市報(bào)》曾就Eterm系統(tǒng)報(bào)道稱，經(jīng)銷商在中航信處購(gòu)買(mǎi)Eterm系統(tǒng)后，中航信通常只會(huì)發(fā)出相應(yīng)的單獨(dú)賬號(hào)，然而這一賬號(hào)可以通過(guò)軟件分出數(shù)個(gè)登錄小號(hào)。這套軟件任何人都可以下載，下載安裝之后，只要有登錄賬號(hào)就可以訪問(wèn)中航信的數(shù)據(jù)庫(kù)。

5月10日，記者在相應(yīng)QQ群、貼吧等網(wǎng)友集中的網(wǎng)站發(fā)現(xiàn)，數(shù)家出租出售Eterm系統(tǒng)的商家混雜其中。而系統(tǒng)租賃價(jià)格也按照查詢功能多少，從數(shù)百元到近萬(wàn)元不等。

“你只要購(gòu)買(mǎi)航司B系統(tǒng)，能查到相關(guān)信息?！钡弥浾咭庥殚喰谐绦畔r(shí)，一位商家熱情推薦到，“通過(guò)這個(gè)系統(tǒng)，你能查到包括身份證、姓名、聯(lián)系方式、常用旅客卡等多個(gè)信息。”

由于從Eterm系統(tǒng)源頭到乘客，中間經(jīng)歷了中航信、航空公司、票代、在線訂購(gòu)網(wǎng)站、第三方航空APP等多個(gè)環(huán)節(jié)。每個(gè)環(huán)節(jié)都存在信息泄露的可能性，也導(dǎo)致乘客在維權(quán)時(shí)，因無(wú)法精準(zhǔn)地找到泄露源頭，不得不面臨著“取證困難”的困局。

實(shí)際上，中國(guó)民用航空局曾于2017年2月就《民航網(wǎng)絡(luò)信息安全管理劃定（暫行）（征求意見(jiàn)稿）》公開(kāi)征求意見(jiàn)。

其中針對(duì)“退改簽詐騙”、“航空詐騙”等問(wèn)題做出規(guī)定：民航各單位應(yīng)當(dāng)制定旅客信息保護(hù)軌制，對(duì)在提供服務(wù)過(guò)程中收集、使用的旅客信息，應(yīng)當(dāng)采取相應(yīng)措施嚴(yán)格保護(hù)，不得泄露、篡改或者毀損，不得出售或者非法向他人提供。而對(duì)于此前曾多次爆出信息泄露的第三方平臺(tái)，更是強(qiáng)調(diào)稱，民航各單位將旅客信息轉(zhuǎn)移或委托給其他組織或機(jī)構(gòu)使用的，應(yīng)當(dāng)簽訂旅客信息保護(hù)協(xié)議，明確旅客信息使用范圍和保護(hù)責(zé)任。

“規(guī)定具體能帶來(lái)怎樣的效果，現(xiàn)階段誰(shuí)也說(shuō)不清楚?！鼻笆龆嗄陱氖潞娇展芾砉ぷ魅耸糠Q，“多個(gè)泄密渠道的存在，導(dǎo)致現(xiàn)在誰(shuí)也不知道自己的信息被多少人掌握?！保ㄓ浾?覃澈）