航空公司官網 “值機”系統可改他人座位

“不僅僅是第三方APP，就連很多航空公司官網都存在信息漏洞。”5月9日，一位兜售航班信息的商家介紹說，“很多航空官網上，都能查到陌生人航班信息。”

為了證明“所言非虛”，他向記者發來一份“查詢指南”。指南稱，不同航空公司，存在著不同的查詢方法；“指南”上還詳細地標明乘客在往返國內幾個大城市之間時，所最常用的航空公司選擇名單。

5月9日，新京報記者登錄一家航空公司官網。按照上述流程指導，在輸入同事姓名以及身份證號后，網站沒有任何身份真假驗證流程即轉跳到相應航班頁面。

該頁面清楚地顯示出記者同事所預訂航班的飛行時間、飛行地點，以及所選擇的座位等信息。新京報記者還發現，當點擊對方座位信息時，網站系統還提示可以進行“退座重選”的操作。

“其實很多航空公司官網都存在或多或少的漏洞。”5月10日，一位航空行業資深人士說，“通常航空公司只確定乘客姓名和身份證即可，但很少對手機進行綁定，所以很多信息正是從這一漏洞泄露出去。”

新京報記者登錄幾家知名航空公司的官網也發現，在辦理登機流程時，只需要輸入相應身份證和用戶姓名即可，并沒有通過注冊時所綁定的手機號進行短信驗證這一環節。

事實上，在多位“商家”傳授航班信息查詢方法時都特意叮囑，查詢者的姓名、身份證號碼可以隨便填寫，但“務必要用自己的手機號碼”。其原因正是“方便提示輸入手機驗證碼時，好用來接受短信”。

“很難想象這種大型航空公司會出現如此漏洞。”上述商家對新京報記者說，“一家航空公司會員有3000多萬人，這給了我們極大的利益空間。”

當記者向該商家咨詢每月以“查詢航班”的模式賺多少錢，他稱，“幾千到上萬元”，“很多做得好的，每個月動輒近十萬元”。

■ 延伸

航空信息泄露渠道多 乘客維權取證難

“第三方APP以及官網所造成的信息泄露，只是整個航空行業冰山一角。如今航空信息泄露源頭實在太多。”5月10日，一位多年從事航空管理工作的人士稱，“泄密涉及環節太多，根本不清楚究竟是哪一環出現問題。”

新京報記者在調查時發現，盡管信息泄露渠道繁多，但源頭指向了中航信Eterm系統。所謂Eterm系統，即為民航旅客訂座系統，其是中航信信息系統下屬系統之一。如今國內各大航空公司的訂票系統，基本都使用的是中國民航信息集團公司系統。而這款系統面向航空公司、機場、機票銷售代理等機構，主要提供航空客運業務、航空旅游電子分銷等服務。

作為中航信系統核心之一，Eterm系統不僅可以查到航班的座位預訂情況，還能詳盡地查閱到每班航班上的訂位編碼，乘客的座位、艙位、姓名、證件號、電話號碼等諸多隱私信息信息。

此前曾有國內媒體報道稱，有權限查看并有可能泄露信息的源頭，主要有機票代理商、航空公司工作人員、中航信工作人員，以及黑客這四大類人群。他們通過不同渠道和權限，在Eterm系統上查到乘客詳細資料。

4月21日，《南方都市報》曾就Eterm系統報道稱，經銷商在中航信處購買Eterm系統后，中航信通常只會發出相應的單獨賬號，然而這一賬號可以通過軟件分出數個登錄小號。這套軟件任何人都可以下載，下載安裝之后，只要有登錄賬號就可以訪問中航信的數據庫。

5月10日，記者在相應QQ群、貼吧等網友集中的網站發現，數家出租出售Eterm系統的商家混雜其中。而系統租賃價格也按照查詢功能多少，從數百元到近萬元不等。

“你只要購買航司B系統，能查到相關信息。”得知記者意欲查閱行程信息時，一位商家熱情推薦到，“通過這個系統，你能查到包括身份證、姓名、聯系方式、常用旅客卡等多個信息。”

由于從Eterm系統源頭到乘客，中間經歷了中航信、航空公司、票代、在線訂購網站、第三方航空APP等多個環節。每個環節都存在信息泄露的可能性，也導致乘客在維權時，因無法精準地找到泄露源頭，不得不面臨著“取證困難”的困局。

實際上，中國民用航空局曾于2017年2月就《民航網絡信息安全管理劃定（暫行）（征求意見稿）》公開征求意見。

其中針對“退改簽詐騙”、“航空詐騙”等問題做出規定：民航各單位應當制定旅客信息保護軌制，對在提供服務過程中收集、使用的旅客信息，應當采取相應措施嚴格保護，不得泄露、篡改或者毀損，不得出售或者非法向他人提供。而對于此前曾多次爆出信息泄露的第三方平臺，更是強調稱，民航各單位將旅客信息轉移或委托給其他組織或機構使用的，應當簽訂旅客信息保護協議，明確旅客信息使用范圍和保護責任。

“規定具體能帶來怎樣的效果，現階段誰也說不清楚。”前述多年從事航空管理工作人士稱，“多個泄密渠道的存在，導致現在誰也不知道自己的信息被多少人掌握。”（記者 覃澈）