安全厂商：全球百大国际机场仅3家通过所有资安检测

一家资安公司报告指出，他们检视全球最大的100家国际机场网站及App的安全性，其中只有3家机场通过安全测试。

在这项测试报告中，安全厂商Immuniweb检视了全球最大的100家国际机场的网站、手机App邮件服务器和API安全性，像是Web App防火墙（WAF）、TLS加密、是否符合GDPR及PCI- DSS（Payment Card Industry–Data Security Standard）标准，以及它们的公有云储存安全性、是否有资讯或程式码外泄到暗网或GitHub上。研究结果显示，只有三家国际机场通过所有测试，包括荷兰阿姆斯特丹史基浦（Schiphol）机场、芬兰赫尔辛基万塔（Vantaa）机场，以及爱尔兰都柏林机场。不过该报告未列出其他机场名单。

分析显示，97家机场网站包含过时Web软件，24%有已知且可被开采的漏洞。76%和73%不符合GDPR及PCI DSS安全标准。有24%网站未采用SSL加密或使用老旧的SSLv3。使用WAF的比例为55%。

在研究团队检视的36支机场App中，全部都有至少2个漏洞，15支有安全或隐私疑虑，超过三分之一的App其对外连线不提供加密。

在这些机场的云端服务安全性，以及是否确保资料不外泄到外部网站被有心人士取得方面，研究显示，66%的机场资料外泄到暗网上，而外泄的325件资讯中，有72件属于重大或高风险外泄。87%的机场资讯流到GitHub上，外泄的3000多项中，有503件属于重大或高风险外泄。而在13家使用公有云的机场中，有4家机场没有针对含有敏感资料的云端数据库设定密码保护。

ImmuniWeb统计指出，出现泄露密码、API金钥和私有凭证等机密资讯等重大风险问题的机场有59家，犯了泄露第三方系统密码及内部程式码等高风险问题的机场有61家。此外，有7成机场泄露内部资讯（如组态档或内部路径），有8成机场含有bug内部讨论或技术细节外泄等低风险安全问题。