安全难寻一隅之地，飞上天照样能黑你

近年来，互联网、物联网、人工智能等高科技产物集体起飞，一瞬间感觉，生活丰富多彩了起来。玩游戏有VR了，购物不用现金了，汽车可以充电了，出门在外只要有手机就什么都不用带了。

在享受这些科技福利的同时，你有没有想过，当有一天这些足够支持你做任何事的数据，到了别人手里，会发生什么？互联网自存在起就一直没有摆脱安全问题的困扰，表面风平浪静实际暗潮涌动。没有绝对安全的系统，只有绝对不安全的系统不止是说说而已。

我们已无从考证是何年何月何时何地何人通过何种方式发现数据信息的价值，以及可以带来的收益。我们只知道，正是数据泄露、数据盗用这类事件的频频发生，让互联网黑产得以发展壮大。

时至今日，各大领域能借着互联网吹起的风一飞冲天，走上时代前沿，像一群嗷嗷待哺的婴儿般接受高科技带来的营养。而数据泄露的问题也不再局限于传统企业，看到这种百家争鸣的画面，最开心的除了用户之外，自然就是潜藏在黑暗角落里的黑客们了。毕竟基数大了，可选目标也多了，更何况，对他们来说黑起来也许就像抢小朋友糖吃。

近几年数据泄露案件频发，对大大小小多起事件观察一下我们就能发现，不论黑客攻击的起手式是什么，最后的目的基本都是奔着数据去的；当然，也存在挖矿、诈骗、单纯破坏等行为，但是不难发现，企业、个人数据基本已经是黑客最常光顾的目标了。

今天关于数据的主角是航空公司，与以往不同，这次没有失事，也没有失联，但同样是非常严重的事故：旅客的信息数据丢了。

黑客对航空公司的攻击早已不是新鲜事，航空公司为此也是头疼不已，尽管一直在想办法推动上下游共同保护旅客信息，但收效甚微。

早在2012年，国内就出现过机票退改签电信诈骗事件，随后在2015年左右爆发进入高峰期，并且多数航空公司、OTA平台因此被投诉不断。

2017年年底，国内因一起退改签诈骗案牵扯出了一桩信息泄露大案，50多家航空公司网站遭到黑客攻击，被窃取的数据多达30万条。同期，北美多家航空公司也出现大面积数据泄露事件，维珍美国航空的3100名员工和承包人的身份凭证泄露，110人的社保号、驾驶证或政府发放ID、住址和医疗相关信息被窃；加拿大西捷航空WestJet Rewards成员资料数据被第三方盗取；佛罗里达廉航Spirit Airlines的1170万用户帐号遭到泄露。

2018年8月底，加拿大航空公司发布公告称，发现航司的移动app出现了大量的异常登陆行为，随后确认其平台数据出现泄露，影响用户约20000人。

随后在9月6日，英国航空也发声明表示自己的数据库遭到了黑客的攻击，约有38万乘客的数据被盗，黑客通过攻击官网和移动app窃取了数据。

类似的事件屡屡发生，问题出在哪里？黑客和航司之间有什么仇什么怨？

众所周知，航空企业用户数据中，会储存一些公开信息，例如客户姓名、邮箱、电话以及一些自行添加的个人资料。乍一看，这些资料到处都是，有什么好担心的？没错，所以黑客也看不上这些资料。大部分泄露的数据里，都包括旅客身份证、护照信息，个别详细一点的还有家庭住址、家庭成员信息或经常出行地点等敏感数据。这些数据的存在的原本作用，是方便旅游公司针对用户的信息进行数据分析、挖掘，做出针对性的营销，对企业口碑、利益来说有很大的作用，虽然都是隐私数据，不过只在行业内流通也算是促进大数据发展，大家也都心照不宣。但是，一旦这些个人隐私被非法利用，那么消费者、企业都将面临巨大的风险。

数据泄露会发声什么？

事件1：几年前，明星邓超的航班信息就被人堂而皇之的挂了出来，一时间成为了追星族的榜样。后经询问发现是在网上买的，而这个卖家则是通过航空公司的内部系统和指令来提取的乘客信息。一套系统月租五千多元，查询次数可达一万次。哪怕一条信息只卖一块，那月收入也是五位数了。

类似事件屡禁不止，时至今日仍然能够看到。（虽然这些明星我一个都不认识）

事件2：某位乘客有一天打算购买机票的时候发现，账户里的余额/飞行里程少了很多，但自己并没有使用，而且通过记录还能看到自己貌似免费请了好些个人做了几趟飞机。正准备处理一下然后就发现不光请人白坐飞机了，连自己的账户都给冻结了。虽然最后航司表示，系统没有被入侵，仅仅是数据泄露。黑客无法通过除航司网站以外的地方盗取顾客信息。

事件3：某女士订了某航从北京飞往武汉的机票，然而就在起飞前一晚，当她在网上值机后却意外地收到了一条署名为该航空公司的提示短信：“尊敬的X女士，您预订的X月X日08：05北京-武汉航班由于机械故障不能起飞已取消，敬请谅解!请及时联系客服400-0335771办理改签或退票。退票 和改签额外补偿200元，改签收取20元工本费。”

这种看似非常精准的短信实际上却是一条诈骗信息，如果这位女士按照对方指示的操作来，那可能会被骗的倾家荡产。

事件4：美国一位游客（或许该叫黑客）仅通过一根改装的网线，便连接上了飞机内部的IFE系统，能够成功访问其他飞机，并控制飞机指令。包括他尝试发出过一条让飞机”侧向飞行“的指令。虽然这位黑客表示无意伤害飞机，但我相信同航班的几百号人应该都不会相信，大部分人只是想平安落地，而不希望自己成为什么特技动作的主角。

类似的，在几年前的black hat大会上也有人演示过如何通过WiFi控制飞机。

可见，航空公司所拥有的旅客信息非常全面，一旦泄露则后果不堪设想。并且这么多年过来，航空安全问题仍然不容乐观。

一般关于航空人们关注的更多的是飞行安全。其实，数据泄露的危害也不亚于一场空难，威胁到的也不止一个航班。如上述事件所说，如果黑客真的控制了一架飞机，那么也许就是双重灾难了。现在来说，航空公司的信息泄露基本来源于两大方面，一是系统存在漏洞，二是内部人员安全意识不足。当然这个系统漏洞也包括一些第三方合作厂商的漏洞，但凡具备机票购买资质的网站或app都有信息泄露的可能。

想要尽可能弥补这些问题，减少”事故“发声的概率，需要从多各角度入手。一方面，各航空公司在注重新技术带给用户体验的同时，也请回头看看相应的安全措施有没有跟上来。有些公司会自己培养安全团队，也有公司会将安全外包，无论如何能做到时刻监督、及时响应才是必要的。其次，加强企业员工的安全培训，不论技术、意识、理念，安全要形成意识形态才能够真正的贯彻到日常的工作中。二者缺一不可，毕竟水桶盛水取决于最短的木板。

互联网技术仍在飞速发展，未来的新花样只会更多，各领域的安全隐患也必定是只增不减。包括国内航班也在近两年开始允许开机、使用空中WiFi，在便利性提升的同时，谁也不知道这些举措会不会在某一天成为黑客手中的利刃。在找到合适的解决方案之前，信息安全始终会是航空公司发展过程中迈不过去的一道坎。

所以，你以为飞上天你就会安全了？黑客告诉你，并不会。既能知道你姓嘛名嘛家里几口人人均几亩地地里几头牛，也能花你的钱请别人旅游，还能在你打着飞的去追他的时候在空中使个绊。可以说方方面面都能给你安排的明明白白。（手动滑稽）

*本文作者：Karunesh91，转载来自FreeBuf.COM