違規賬號共享

需要指出，記者購買到的賬號，并非中航信系統中的真實賬號，而是來自于PID配置放大，將一個系統賬號拆分成數十個子賬號進行使用，每一個子賬號享有與母賬號相同的權限配置，而且子賬號之間數據互通。

eTerm問世不久之后，行業內就研發了此類放大軟件，一方面為代理人節省賬號購買成本，另一方面也大幅降低了代理人行業門檻，這使得代理商、代理人的隊伍迅速壯大。這種放大軟件時至今日依然被廣泛使用。

這種賬號體系的放大使用，成為數據泄露的主要渠道。

一個代理人放大出票賬號，意味著該母賬號下所有的訂票信息、旅客數據，獲取此類賬號同時也可以獲取通過該代理實時下單的旅客信息。而航司B系統的放大賬號，則意味著更多的數據、資料，如果能夠同時擁有幾大航司的B系統賬號，相當于可以隨時查詢絕大多數的旅客出行信息。“部分與航空公司合作緊密的代理人擁有航司B系統賬號，員工也可能把賬號賣給信任的人”，一位航空公司人士告訴記者：“另一方面航空公司本身也有放大賬號的需求，賬號租賃費每年需要幾千萬。”

2016年4月，濟南市歷城區檢察院審理了一起“提供侵入計算機信息系統工具罪”，三名航空公司員工對外出售了上千個帶有RT指令的賬號，部分賬號每日提取數以千記的乘客信息，涉案人員均被刑事處罰。

2010年開始，中航信因為這種放大系統帶來的劣幣效應開始打擊第三方配置平臺，大量放大配置因此消失。但是，由于技術門檻較低，這種放大行為始終存在。

然而，記者致電中航信旗下子公司廣州航旅天空，該公司官網客服則表示：“我們也是根據航信放大的系統，其他公司可能會被封，但我們的不會。”

記者電話咨詢中航信，經過多次溝通輾轉獲得宣傳部門電話，4月20日工作時間，記者8次撥打該電話均無人接聽。2016年10月，央視焦點訪談曾曝光中航信信息泄露，當時，中航信曾回應稱已經通過“清理外掛平臺”、“限制代理人權限”、“推廣賬號雙因素認證”、“賬號行為管理”等多種舉措保護旅客信息安全，并表示對違規行為堅決打擊。

多渠道泄露屢禁不止

需要指出，在前述授權查詢過程中，記者獲取身份證、姓名等信息均為真實信息，但只有不到一半的聯系方式為旅客真實電話，半數乘客的聯系方式為機票代理人電話，個別無法提取聯系方式。

“因為有很多代理人在提交訂單時，并不向航空公司提交客戶資料，擔心被我們搶客戶”，上述航空公司人士告訴記者：“雖然幾大航司都有要求代理人提交真實信息，但他們不遵守，也不好去嚴格處罰。”部分客戶資料掌握在OTA平臺、代理商手中，同樣存在泄露可能。事實上，由于用戶信息管理的混亂，以及多個潛在泄露渠道，部分航班信息泄露甚至無法定位泄露源頭。

2012年開始，國內機票退改簽電信詐騙事件開始爆發，因為掌握了用戶的真實信息、且當時用戶對此類詐騙幾乎沒有防范心理，詐騙成功率極高。

此類詐騙在2015年前后進入高峰期，各大航空公司、OTA平臺因此被不斷投訴。

在此期間，OTA平臺相繼上線隱私保護政策。以阿里為例，阿里巴巴旗下阿里通信針對此類情形上線了“私密專線”，消費者購買機票時，機票代理人獲取的是虛擬手機號，該手機號僅支持代理人、消費者之間聯系，其他人獲取該手機號則無法使用。

同時，2015年中航信對代理人系統做出指令修改。2015年之前，代理人系統通過DETR指令可以查詢所有旅客的有效客票信息、對應證件號、預留聯系方式、常用旅客卡等信息;2015年之后，該指令權限大幅下調，僅可查詢在本賬號出票的旅客信息。但由于賬號放大存在，這種限制依然存在泄露風險。此外，上述航空公司人士告訴記者：“航司B系統沒有限制過，所有航司的賬號理論上都可以MLB、RT。”

2017年2月，中國民用航空局起草《民航網絡信息安全管理規定(暫行)(征求意見稿)》，其中第四十六條指出，“旅客信息或重要生產數據泄露，造成重大影響或經濟損失”時，民航行政管理機構應當啟動網絡信息安全事件調查。

此外，該文件第三十五條要求，民航各單位落實旅客信息保護制度，在“在發生或者可能發生旅客信息泄露時，應當立即采取補救措施”。不過，記者就上述購買到國航B系統事宜咨詢國航，國航并未回應記者。 (原標題：揭秘航空數據泄露源頭： 出票賬號被違規放大共享)