过去一周，亚洲至少六家航空公司相继披露旅客订座记录被未授权访问，而它们自己的系统都没有被攻破。所有通知都指向同一个名字：西班牙旅游科技服务商 Amadeus。这家公司为全球数百家航空公司提供旅客服务系统（PSS），涵盖预订、出票、值机。它在旅行预订展示环境里的一处漏洞，加上一组被非法使用的系统账号凭证，把多家航司的旅客数据一次性串了出来。
这是 2026 年最典型的一类事件：不出事则已，一出事就是「一损俱损」。
事件概述
国泰航空在 10 月 28 日收到 Amadeus 通知，确认约 5.3 万条订座记录被未授权访问；日本航空集团约 9.2 万名旅客受影响，其中约 2000 人的邮箱、电话、护照号等额外信息可能被访问；全日空约 3.78 万名旅客受影响，其中约 1700 人涉及额外信息；新加坡航空约 4.6 万条订座记录，其中约 620 条包含邮箱、电话、旅行证件资料与 KrisFlyer 会员号。大韩航空、韩亚航空、马来西亚航空也已陆续发布通知，马航仅表示「部分客户资料可能受影响」。
仅已公布具体数字的四家合计已超过 22.8 万人。受影响记录的时间跨度很大：从 2023 年 8 月一直到 2026 年 9 月。
技术细节
泄露的信息分两层。基础层是订座本身的字段：旅客姓名、订座编号（PNR）、行程、舱位等级。加深层是少数记录里附带的邮箱、电话号码、旅行证件信息与常旅客会员号。
根因方面，各方给出的信息有限但有交叉点：
- Amadeus 的说法是，近期发现一个用于展示旅行预订信息的环境存在漏洞，攻击者可通过该漏洞访问部分预订信息
- 国泰航空披露，Amadeus 的通报称攻击者在入侵过程中使用了「分配给其系统账号的登录凭证」——即凭证是合法签发的，只是被非法使用
- Amadeus 明确否认遭到勒索软件攻击，也否认支付或财务数据被访问；截至目前未发现数据被滥用
- 三家航司均确认自有 IT 系统未被入侵，运营未受影响
把这几条拼起来，攻击路径大致是：拿到一组有订座查询权限的服务账号凭证，再借展示环境的漏洞读到超出该账号应有范围的记录。至于凭证是泄露、被猜解还是被内部滥用，Amadeus 拒绝置评，漏洞的具体成因也未公开。
影响评估
单看每个字段都不算敏感，组合起来就是一套完整的社工素材。姓名 + 订座编号 + 航班号 + 日期，足以支撑一封几乎无法识别的钓鱼邮件：「您的 CX 航班因故调整，请点击确认」——收件人大概率会点。
订座编号（PNR）本身就是一个弱身份凭证。很多航司的自助值机、选座、改签入口只校验 PNR 加姓氏，拿到这两项就能登录旅客的订单，看到完整行程、联系方式，甚至做改签操作。新加坡航空的处理方式说明了这个风险等级：它们主动联系近期有出行安排的受影响旅客，协助更换已暴露的订座编号。这个动作在航空业里不常见。
更值得国内企业注意的是供应商集中度问题。Amadeus 去年营收超 65 亿美元，服务数百家航空公司与机场。一家供应商的一个展示环境漏洞，同时把六家以上航司推上公告位——这不是航司的安全能力问题，而是采购结构决定的系统性风险。同一逻辑适用于国内所有把订单、客服、物流、支付外包给第三方 SaaS 的电商与制造企业。
修复建议
面向使用第三方系统处理客户数据的国内企业：
- 供应商准入要查权限模型：不只看对方有没有等保/SOC 2 证书，要问清楚「服务账号能看到哪些字段、能看到哪些客户的数据、越权访问有没有技术阻断」
- 最小化字段：给第三方的接口只传业务必需字段。护照号、证件类型这类高敏字段，除非业务强依赖，不应进入第三方的展示环境
- 要求可审计：合同里写明异常查询的告警与通报时限，以及事件发生后供应商必须提供的日志范围
- 预警与止损：确认受影响后，第一时间通知客户，并对可轮换的标识（如订单号、会话）做重签；同时监控以该品牌名义发起、携带真实订单信息的钓鱼邮件
面向旅客个人：收到任何带订单信息的「航班变更/退改签」通知，不要点邮件里的链接，直接打开航司官方 App 或拨打官方客服核对。