2026-11-10 16:50:41 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

六家亚洲航司同时中招：矛头直指同一家IT供应商

原创

首席安全官
首席安全官

首席安全官

2026年11月10日 08:30
北京

去阅读

点击上方蓝字，发现更多精彩

过去一周，日本航空、国泰航空、新加坡航空、大韩航空、韩亚航空、马来西亚航空六家亚洲航司相继发布数据泄露公告。看上去像是一波针对航空业的集中攻击，但真正被攻破的，是它们共同的 IT 供应商——西班牙航空 IT 巨头艾玛迪斯（Amadeus）。

六家航司的自有与内部系统，一个都没有被攻破。泄露全部发生在艾玛迪斯（Amadeus）的系统里。新加坡航空明确表示确认内部 IT 系统并未遭到入侵，国泰航空确认未经授权的访问发生在艾玛迪斯（Amadeus）的系统、涉及被非法使用的系统账户登录凭证。

这是一起典型的\"服务可以外包，风险不会随合同转移\"事件。对首席安全官而言，它提出了一个比\"我的边界在哪里\"更难回答的问题：当你的客户数据、预订信息、护照证件，实际上运行在一家远在马德里的供应商系统上时，你的安全边界到底画在哪里？

一、六家航司连环泄露，入口都在 Amadeus

安全内参 11 月 5 日的报道还原了事件全貌。过去一周，六家亚洲航司陆续确认数据泄露，源头均被追溯至艾玛迪斯公司（Amadeus）。该公司主要开发和维护航空预订、机票销售及值机平台，年营收超过 65 亿美元，与数百家航空公司和机场建立了合作关系。

艾玛迪斯公司发言人确认，公司近期发现一个用于展示旅行预订信息的系统存在安全漏洞，攻击者可通过该漏洞访问部分预订信息。该发言人称：\"尽管调查仍在进行，但目前没有证据表明支付或财务数据被访问，也没有迹象显示攻击者利用该漏洞实施了勒索软件攻击。\"对于攻击者是否联系过公司、以及究竟影响了多少受害者，艾玛迪斯公司拒绝置评。

各航司披露的受损规模与字段：

日本航空：约 9.2 万名客户信息被窃取。更深一层的信息是，Amadeus 于 10 月 23 日通知日航，其旅客服务系统（Passenger Service System）在 2023 年 8 月 10 日至 2026 年 9 月 23 日期间遭未授权访问——泄露窗口长达三年。约 9 万客户的预订号、姓名、航班日期、航线与舱位暴露，另有约 2000 名客户的邮箱、电话、护照号、常旅客号同时泄露。

国泰航空：约 5.3 万条记录被访问，包括预订编号、乘客姓名和航班信息，部分记录还包含护照及其他旅行证件信息、常旅客会员号码和电子邮箱。国泰明确，攻击者在入侵过程中使用了\"分配给其系统账号的登录凭证\"。

新加坡航空：约 4.6 万条记录被访问，涉及预订确认编号、旅行行程及乘客姓名；已表示将主动联系受影响乘客，协助更换已暴露的预订编号。

大韩航空、韩亚航空、马来西亚航空：相继确认受同一缺陷影响。六家航司合计被访问的预订记录超过 19 万条。

一个容易被忽略、却最值得首席安全官门注意的事实是：六家航司均表示，针对 Amadeus 的攻击没有影响各自的系统或运营。也就是说，从航司自身的安全态势看，它们\"没有出事\"——防火墙没被突破、终端没被入侵、内网没被横向移动。但客户数据照样泄露了，因为数据从一开始就不在航司自己的系统里。

二、同因不同果：航司泄露了数据，银行被偷走了 1.18 亿欧元

把艾玛迪斯公司事件与本周另一起法国事件并排放，更能看清第三方入口的结构性风险。

同在 11 月初，法国互助信贷集团（Crédit Mutuel Arkéa）遭遇欺诈交易攻击，超 1.18 亿欧元被盗并兑换成 USDC、USDT 洗钱转移。入口同样不是银行自身——而是银行所依赖的外部平台。同日同国，三家法国血液中心的血浆冷库温度被远程改至约 110℃，入口是制冷供应商 Coolworld 远程监控软件的第三方组件。

三起事件，同一个病因——攻击不在你的系统里，在你依赖的那个供应商的系统里；却结出三种完全不同的果：航司泄露的是客户隐私与证件，银行丢失的是真金白银，血库差点报废的是救命的血浆。每日要闻在综合观察中给出一个准确判断：\"供应链单点失效的外溢半径持续扩大——一家 Amadeus 打穿六国航司，一家制冷供应商牵出法国银行与血库同日遇袭。\"

这正是第三方风险最难管的地方：损失的类型、量级和后果，取决于供应商在你业务里到底替你运行了什么、能触达什么。同样是\"供应商被攻破\"，泄露 9 万条预订记录和被转走 1.18 亿欧元，完全是两个量级的事——但起因是一样的。首席安全官如果只盯着\"我的系统有没有被攻破\"，就会在风险真正引爆的那一天发现自己根本不在现场。

三、Amadeus 不是孤例：航空业已被同一类入口反复打穿

Amadeus 这次绝非航空业的偶发事件。过去一年，已有数十家航空公司成为网络犯罪分子的攻击目标。2026 年，西班牙伊比利亚航空和科特迪瓦航空也遭到网络攻击。更值得复盘的是澳洲航空（Qantas）的案例：去年黑客从澳航窃取了 600 万条客户记录，该事件最终导致公司高级管理人员被罚款数十万澳元——出了事，被追责的是航司高管，不是供应商。

这正是第三方风险在治理层面的悖论：数据在你的名下、客户是你的、监管罚单开给你，但数据的实际控制权在供应商手里。Amadeus 一家服务商连接数百家航司与机场，意味着它的一个漏洞，可以同时成为几百家航司的灾难。这是一种典型的\"单点失效、多向外溢\"结构——当所有航司都接同一个预订平台时，平台失陷等于全行业失陷。

更隐蔽的问题是泄露窗口。日航这次的未授权访问从 2023 年 8 月持续到 2026 年 9 月——三年。这意味着，即便航司自身的安全监控做得再好，只要供应商侧的漏洞没被发现，数据就会持续外流，而航司作为数据主体方，可能整整三年都毫不知情。第三方风险不只是\"会不会出事\"，更是\"出了事你多久才知道\"。

四、第三方风险成黑盒：评估总是在填问卷

多数首席安全官明知第三方风险大，但实际管控停留在合同里的资质审查条款和一年一次的问卷。原因不复杂：对供应商的\"实际接入范围、系统权限、数据流向\"基本是黑盒——合同签了，数据出去了，之后供应商把数据存在哪、谁能访问、远程维护通道怎么管、出了事多久通知你，多数企业说不清楚。

Amadeus 事件把这个黑盒打开了：攻击者使用的是\"分配给系统账号的登录凭证\"，说明问题出在凭证管理与系统访问控制上；泄露窗口长达三年才被通知，说明供应商侧的检测与通报机制存在严重延迟；六家航司同时受影响，说明没有任何一家航司在事前对\"我的预订数据在 Amadeus 系统里到底怎么被访问\"做过有效审计。

问卷式评估回答不了这些问题。它只能证明供应商\"有资质\"，不能证明供应商\"现在安全\"。而攻击者打的，从来不是资质，是实时的凭证、漏洞与配置。

五、CSO 防范指南：第三方接入专项排查三步法

把 Amadeus 事件的教训落到可执行的动作上，建议从三步入手，重新画一遍你的安全边界。

第一步：数据流向图——先搞清楚你的数据在谁那里。清点所有把客户数据、经营数据、敏感信息委托出去的供应商，画出\"数据从你这里出发，经过哪些供应商系统、被谁访问、存放在哪、保留多久\"的完整流向。这一步回答的是 Amadeus 事件最基本的问题：你的客户预订数据，到底运行在哪一家供应商的哪个系统上。没有这张图，后面所有管控都是空的。

第二步：最小权限复核——把供应商的\"系统账号登录凭证\"管起来。Amadeus 事件的直接入口就是被滥用的系统账号凭证。对所有供应商与外部合作方的接入凭证做一次彻底复核：每个账号的最小必要权限、凭证轮换机制、多因素认证、远程接入的会话审计与一键切断能力。关键数据系统的供应商接入，必须做到\"可审计、可回收、可断路\"。

第三步：供应商失陷隔离预案——假设供应商明天就被攻破，你怎么在 24 小时内止血。日航的教训是泄露窗口长达三年。预案要明确：供应商发生安全事件后的通报时限（写入合同，小时级而非天级）、数据隔离与凭证回收的执行路径、客户通知与监管报送的触发条件、以及业务连续性兜底方案。真正考验的不是\"供应商出没出事\"，而是\"出事之后你多久能知道、多久能切断\"。

这三步的核心逻辑只有一个：服务可以外包，风险不会随合同转移，但管控必须延伸到合同之外。当你的客户数据运行在 Amadeus 这样的供应商系统上时，你的安全边界就不在你自己的防火墙那里——它在你对供应商接入的每一次审计、每一张凭证、每一份通报条款里。

Amadeus的一个漏洞，导致六家航司连环泄露。下一个\"Amadeus\"可能不在航空业，但它一定已经接进了你公司的某一条数据通道。问题是——你知道是哪一条吗？

本文依据截至 2026 年 11 月 7 日已公开信息整理。

参考资料：
安全内参《亚洲六大航空龙头数据泄露：因 IT 供应商遭入侵》（2026-11-05）
每日要闻归档库 2026-11-05、2026-11-01（Amadeus 时间线与综合观察）
The Record / 路透社 / 彭博社相关报道
同花顺一周安全事件回顾（2026-11-07）

精彩回顾