查理·特里巴洛

國泰航空（0293.HK）周五（10月30日）表示，未獲授權人士登入供應商Amadeus運作的系統後，存取約5.3萬宗國泰訂位資料。存取活動由2023年8月至2026年9月，今次披露令這間香港航空公司成為最新一家受這宗旅遊科技公司資料外洩事件影響的航空公司。

國泰於10月28日得悉事件。Amadeus在此之前8日通知大韓航空，並於10月23日通知日本航空。大韓航空及其附屬公司韓亞航空於10月23日公開事件。日本航空其後於10月28日公布，估計約9.2萬名客戶受影響；全日空則表示涉及約3.78萬人。

國泰表示，大部分受影響紀錄的外洩範圍有限，僅載有訂位編號、乘客姓名及航班資料。較少部分紀錄可能亦包括聯絡電郵及電話、旅行證件資料或會員編號。國泰稱，沒有證據顯示財務或付款資料被存取，而其自身系統及營運亦未受影響。

國泰本身並沒有發生資料外洩。航空公司引述Amadeus稱，有人利用供應商系統一個帳戶的登入憑證，在未獲授權下接觸包括國泰相關紀錄在內的訂位資料。大韓航空一周前形容的入侵方式亦相同。國泰表示，Amadeus已重設密碼、加強監察及偵測，目前未發現資料被濫用的證據。

Amadeus另行向路透社表示，公司得悉一個影響旅遊訂位顯示環境的漏洞，但沒有透露受影響的航空公司或乘客數目。公司稱，沒有迹象顯示有關漏洞被用於勒索軟件攻擊。

今次涉及的數字只是國泰2018年資料外洩事件的一小部分；當年最多有940萬名乘客的資料被存取。香港電腦保安事故協調中心（HKCERT）警告，真實乘客姓名及航班編號會令冒充航空公司客服的騙徒更具可信性。中心表示，事件可能涉及更多航空公司，並提到近期有騙案利用外洩乘客資料，包括一宗損失120萬港元的個案。

警方於10月23日公布的一宗案件，涉及的金額同樣是120萬港元。一名退休人士接到冒充香港航空職員的來電，對方知道她的航班編號及出發時間，令她損失120萬港元。警方未確認來電者的資料來源，亦未有證據顯示案件與Amadeus事件有關。

香港資訊科技聯會榮譽會長方保僑表示，事件屬供應鏈風險，而非國泰自身訂位或營運系統遭入侵。

國泰表示，已通知相關當局，待完成分析Amadeus提供的資料後，會逐一聯絡受影響客戶，但未有交代預計時間。