去年，萬(wàn)豪旗下喜達(dá)屋酒店的數(shù)據(jù)庫(kù)遭到非法入侵，導(dǎo)致多達(dá)5億條客人信息被盜。 加上此前賓客信息泄露事件頻發(fā)，酒店行業(yè)個(gè)人信息安全引起廣泛關(guān)注。

近日，全球網(wǎng)絡(luò)安全公司賽門鐵克發(fā)布研究報(bào)告，覆蓋全球54個(gè)國(guó)家和地區(qū)的1500多家酒店網(wǎng)站，發(fā)現(xiàn)三分之二（67%）的酒店網(wǎng)站無(wú)意中將客戶預(yù)訂信息泄露給第三方- 第三方網(wǎng)站，例如廣告商和分析公司。

酒店行業(yè)為何成為信息泄露的重災(zāi)區(qū)？ 這些個(gè)人信息是通過(guò)什么渠道泄露的？ 如何預(yù)防呢？ 今日，記者對(duì)賽門鐵克大中華區(qū)首席運(yùn)營(yíng)官羅紹輝進(jìn)行了專訪，并回答了有關(guān)酒店行業(yè)信息安全的問(wèn)題。

2/3酒店網(wǎng)站存在信息泄露

據(jù)羅少輝介紹，在本次測(cè)試中，賽門鐵克的研究人員隨機(jī)選擇了一些旅游景點(diǎn)，并搜索了位于這些地點(diǎn)的不同級(jí)別的熱門酒店。 從鄉(xiāng)村二星級(jí)普通酒店到豪華五星級(jí)海濱度假酒店等，一些大型知名連鎖酒店的品牌也被納入測(cè)試類別，基本實(shí)現(xiàn)了全覆蓋，能夠反映行業(yè)的共性問(wèn)題。

報(bào)告顯示，部分網(wǎng)站的預(yù)訂系統(tǒng)在隱私保護(hù)方面表現(xiàn)良好，僅顯示基本數(shù)據(jù)和入住日期，并未泄露任何個(gè)人信息。 但絕大多數(shù)網(wǎng)站都泄露了大量個(gè)人數(shù)據(jù)，包括姓名、電子郵件地址、郵寄地址、手機(jī)號(hào)碼、信用卡最后四位數(shù)字、卡類型和有效期、護(hù)照號(hào)碼等關(guān)鍵個(gè)人信息。 1500多家酒店網(wǎng)站中，67%存在信息泄露問(wèn)題。

酒店為何成為信息泄露的重災(zāi)區(qū)？

酒店為何成為信息泄露的重災(zāi)區(qū)？ 對(duì)此，羅紹輝指出，除了酒店先天缺乏防御能力外，酒店數(shù)據(jù)的“高價(jià)值”使得酒店數(shù)據(jù)成為黑客眼中的“甜頭”。

住過(guò)酒店的人都知道，酒店錄入個(gè)人信息時(shí)，除了姓名、手機(jī)號(hào)碼等數(shù)據(jù)外，還會(huì)有身份證、護(hù)照、甚至信用卡信息等信息。 可以說(shuō)，這是一份相當(dāng)詳細(xì)的個(gè)人信息，可以用在很多地方。 而且，酒店，尤其是酒店集團(tuán)，擁有龐大的數(shù)據(jù)庫(kù)。 一旦被破解，他們就可以輕松獲取大量個(gè)人數(shù)據(jù)。 這些數(shù)據(jù)可以分類并在網(wǎng)上明碼標(biāo)價(jià)出售，也可以打包整體出售。

據(jù)保守估計(jì)，犯罪分子去年通過(guò)在暗網(wǎng)上出售消費(fèi)者的個(gè)人和財(cái)務(wù)信息，獲取了數(shù)千萬(wàn)美元的不義之財(cái)。 一條信用卡信息在地下銷售論壇上的售價(jià)可高達(dá) 45 美元，犯罪分子通過(guò)從每個(gè)嵌入代碼的網(wǎng)站竊取 10 條信用卡信息并將其出售，每月可賺取高達(dá) 220 萬(wàn)美元的收入。

信息是通過(guò)什么渠道泄露的？

那么，酒店信息是通過(guò)什么渠道泄露的呢？ 羅紹輝指出，由于信息共享，酒店數(shù)據(jù)泄露的渠道較多。

賽門鐵克研究人員審查過(guò)的酒店中，超過(guò)一半 (57%) 會(huì)向客戶發(fā)送一封確認(rèn)預(yù)訂的電子郵件，其中包含直接訪問(wèn)預(yù)訂的鏈接。 其初衷是為了方便顧客，讓顧客無(wú)需登錄即可進(jìn)入預(yù)訂窗口。然而，當(dāng)這些預(yù)訂通過(guò)電子郵件發(fā)送時(shí)，直接或間接地與其他資源共享訪問(wèn)權(quán)限，因?yàn)樵S多第三方各方將在同一網(wǎng)站上加載廣告。 賽門鐵克的測(cè)試顯示，每次預(yù)訂平均生成 176 個(gè)請(qǐng)求，雖然并非所有請(qǐng)求都包含詳細(xì)的預(yù)訂信息，但這一數(shù)字表明預(yù)訂數(shù)據(jù)被廣泛共享。

研究測(cè)試發(fā)現(xiàn)，如果客戶使用電子郵件中收到的鏈接自動(dòng)直接登錄到預(yù)定窗口，則在此過(guò)程中加載的頁(yè)面可能會(huì)調(diào)用許多遠(yuǎn)程資源，而這些外部對(duì)象發(fā)出的 Web 請(qǐng)求將直接使用完整的遠(yuǎn)程資源。 URL作為參數(shù)發(fā)送。 在這次測(cè)試中，酒店預(yù)訂代碼被30多家不同的服務(wù)提供商共享，其中包括一些知名的社交網(wǎng)絡(luò)、搜索引擎以及廣告和分析服務(wù)提供商。 在這種情況下，第三方服務(wù)可以登錄預(yù)訂窗口，查看詳細(xì)的個(gè)人信息，甚至取消客戶的預(yù)訂。

此外，預(yù)訂數(shù)據(jù)泄露還有其他潛在原因。 一些數(shù)據(jù)泄露發(fā)生在預(yù)訂過(guò)程中，而另一些則發(fā)生在客戶手動(dòng)登錄網(wǎng)站時(shí)。 有些站點(diǎn)出于安全原因生成令牌，并通過(guò) URL 傳遞它而不是安全證書，但也不建議這樣做。 而且，在許多情況下，即使客戶的酒店預(yù)訂被取消，預(yù)訂數(shù)據(jù)仍然可見(jiàn)，這為攻擊者竊取個(gè)人信息提供了絕佳的機(jī)會(huì)。

研究還發(fā)現(xiàn)，超過(guò)四分之一 (29%) 的酒店網(wǎng)站沒(méi)有對(duì)電子郵件中的初始鏈接（包括 ID）進(jìn)行加密，這令人擔(dān)憂。 一旦客戶點(diǎn)擊電子郵件中的 HTTP 鏈接，攻擊者就會(huì)在此過(guò)程中攔截客戶的憑據(jù)，從而允許他們查看或修改其預(yù)訂信息。 這種情況很可能發(fā)生在機(jī)場(chǎng)或酒店等公共熱點(diǎn)，除非用戶主動(dòng)使用 VPN 軟件來(lái)保護(hù)連接。 甚至有個(gè)別預(yù)訂系統(tǒng)在預(yù)訂過(guò)程中將鏈接從 HTTP 重定向到 HTTPS 之前將數(shù)據(jù)泄露給服務(wù)器。

怎么解決？

歐盟的GDPR和我國(guó)的《網(wǎng)絡(luò)安全法》都強(qiáng)調(diào)了個(gè)人數(shù)據(jù)的保護(hù)。 然而，賽門鐵克對(duì)存在這一問(wèn)題的酒店業(yè)的調(diào)查表明，實(shí)際情況并不樂(lè)觀。

如何解決這個(gè)問(wèn)題，羅少輝認(rèn)為，酒店服務(wù)預(yù)訂網(wǎng)站應(yīng)統(tǒng)一使用加密鏈接（HTTPS），并確保不會(huì)以URL參數(shù)的形式泄露憑證，即使適用的隱私法規(guī)允許。 例如使用。 客戶可以檢查鏈接是否已加密，或者電子郵件地址等個(gè)人數(shù)據(jù)是否作為 URL 中的可見(jiàn)數(shù)據(jù)傳遞，并且他們可以使用 VPN 服務(wù)來(lái)最大程度地降低因使用公共熱點(diǎn)而導(dǎo)致信息泄露的風(fēng)險(xiǎn)。