供應商系統遭入侵 國泰5.3萬宗預訂資料外泄

私隱公署已展開調查

私隱專員公署回覆明報查詢時表示，昨日接獲國泰的資料外泄事故通報，已經展開調查。公署提醒機構，應盡快通知個別受影響客戶。截至昨日，公署未接獲與事件相關的查詢或投訴，亦未收到其他航空公司同類通報。

國泰今次面對的外泄風險，源頭並非自家系統，而是合作夥伴Amadeus的系統。Amadeus是全球旅遊科技公司，向航空公司提供訂位、票務等技術方案。國泰接獲對方通報後，確認約5.3萬宗預訂資料被存取，涉及時段橫跨2023年8月至今年9月，前後超過一年。國泰未有交代受影響資料的具體內容，只強調財務或付款相關資料未有證據顯示遭不當存取。

供應商風險再成焦點

航空公司依賴第三方供應商處理大量乘客資料，由預訂、登機手續到常客計劃，資料往往在多個系統之間流轉。今次事件再次突顯供應商環節的風險：即使航空公司本身系統安全，只要合作夥伴的系統出現漏洞，乘客資料同樣可能外泄。

國泰過去亦曾捲入資料外泄事故。2018年，國泰及其子公司港龍航空曾公布，約940萬名乘客資料遭未獲授權存取，包括姓名、國籍、出生日期、電話號碼、電郵地址、護照號碼等，部分信用卡資料亦受影響。當時國泰被批評延遲公布事件，私隱專員公署其後發表報告，指國泰在保留乘客資料方面違反私隱條例。

今次事件規模遠小於2018年，但性質相似：外泄源頭在第三方系統，受影響範圍以預訂資料為主。國泰在接獲通報後翌日向傳媒確認事件，公布速度明顯較2018年快。

公署提醒盡快通知客戶

私隱專員公署在回應中特別提醒機構，應盡快通知個別受影響客戶。根據《個人資料（私隱）條例》，資料使用者須採取所有切實可行的步驟，確保個人資料受保障，防止未獲授權或意外的查閱、處理或使用。若發生資料外泄，機構應在合理時間內通知公署及受影響人士。

公署表示，昨日接獲國泰通報後已展開調查，截至昨日未接獲相關查詢或投訴，亦未收到其他航空公司通報。這意味目前只有國泰確認受Amadeus事件影響，其他使用Amadeus服務的航空公司是否同樣受牽連，尚待進一步資料。

國泰未有公布受影響乘客所屬地區或航班範圍，亦未有交代會否向受影響客戶個別發出通知。以5.3萬宗預訂資料計，涉及人數可能相當可觀。乘客若曾在2023年8月至今年9月期間透過國泰或相關渠道預訂機票，或需留意是否有可疑通訊或詐騙風險。