全球最大线上票务系统漏洞可让骇客变更用户记录，近半航空公司遭殃

安全研究人员发现 ，掌控全球44%的国际航空订票业务的线上订票系统Amadeus存在作业上的漏洞，数百万旅客的资料面临外泄与被窜改的风险。

Amadeus是全球最大线上航空订票系统之一，拥有141家航空公司客户，包括联合航空、加拿大航空、法航、英航、汉莎航空及以色列航空等。白帽骇客及安全研究人员Noam Rotem在以色列航空订位后接到Amadeus 系统寄来的电子邮件，当中包含可检视乘客订位纪录代号（personal name record, PNR）的连结 https://fly.elal.co.il/LOTS-OF-NUMBERS-HERE。

骇客只需变更网址上的RULE_SOURCE_1_ID即可检视所有客户姓名、PNR和相关的飞航资讯，如电话、住家地址等。

PNR是一组6码字母和数字组成的乘客订位记录，它和航空公司的订位代号都可以用来查询或取消订位。

只要拥有旅客名字及PNR，即能登入这家网站航空公司的入口网站变更资料、兑换飞行常客的累积哩程到个人账号、选定座位和餐点、更新客户的电子邮件和电话号码。

虽然要对航空旅客资料动手骇客得先取得PNR code，但Rotem表示其实管道很多，例如以色列航空以未加密信件传送PNR code，还有不少人甚至将登机证照片大喇喇贴在脸书或推特， 上面都可以看到PNR。

研究人员在以色列航空公司网站上做了一些测试，发现根本没有防止暴力破解的防护，使他们可任意寻找任何人的PNR及旅行账户资讯。他们随后将问题通报以色列航空将漏洞修补。

同样的漏洞自然也影响所有Amadeus系统的141家航空公司。研究人员建议加入captcha、以密码取代PNR code，或使用线上机器人做存取防护，以免骇客暴力破解帐密。

Amadeus已在通报后于本周稍早修补了该漏洞，加入Recovery PTR（Passenger Traffic Resolutions）防止任何恶意用户存取旅客个人资讯。该公司也为此致歉。