馬航通報Amadeus訂位系統資安事件　3年旅客資料可能受影響

馬來西亞航空11月1日表示，第三方航空訂位技術供應商Amadeus發生資安事件，可能影響部分旅客資料。航空公司指出，相關資料是在2023年8月至2026年9月間經由Amadeus系統處理；馬航自有資訊系統沒有遭到入侵，目前也沒有證據顯示金融資料被存取。受影響人數與完整欄位仍在調查。

航空訂位系統不只保存一張機票，常包含旅客姓名、行程、訂位代碼、聯絡方式、座位、會員號碼，部分國際行程還可能涉及護照與國籍資料。即使信用卡與密碼沒有外洩，攻擊者仍能利用姓名、航班與聯絡資訊製作高度逼真的釣魚郵件、假退票通知或行李補款訊息。

這起事件的風險來自供應鏈集中。航空公司把訂位、開票與報到等核心流程交由大型技術商處理，可以降低自行建置成本並連接全球銷售通路；同一供應商一旦出現未授權存取，影響就可能跨越多家航空公司與國家。國泰、日本航空與韓亞航空也先後通報相關資料事件。

馬航聲明目前沒有說明哪些資料欄位、多少旅客或哪些航線受到影響。這些空白不應被解讀成沒有風險，也不能被誇大成所有乘客資料都已外洩。航空公司與Amadeus需要按調查結果個別通知受影響者，交代資料類型、可能後果、保護措施與可聯絡窗口。

旅客此時最需要防範的，是利用事件知名度發動的二次詐騙。任何要求點擊連結重新輸入護照、信用卡、一次性密碼，或宣稱支付小額費用即可領取賠償的訊息，都應先回到航空公司官方網站或客服核實。不要直接使用郵件中的電話與網址，也不要把訂位代碼公開貼在社群平台。

對企業而言，委外服務不等於責任也一併外包。航空公司必須掌握供應商能存取哪些資料、保留多久、由哪些帳號操作，以及異常登入能否即時被發現。合約中還要有事件通報期限、稽核權、刪除與備份規則，否則事故發生後只剩等待供應商提供片段資訊。

資料期間橫跨三年，凸顯偵測與保存政策的重要性。若未授權存取長期存在，企業需要說明為何監控沒有及早發現；若只是調查回溯到這段期間，也應分清實際入侵時間與可能受影響資料的處理時間。把兩者混在一起，會讓旅客無法判斷風險何時開始、是否仍在持續。

監管機關可要求跨國企業以一致方式通知，而不是讓同一事件在不同市場出現不同資訊。通知至少應包含資料種類、影響人數、事件時間線、已採取措施、身分冒用風險與申訴管道。金融資料未被存取是一項重要事實，但不能取代對其他個資用途與外洩範圍的說明。

台灣旅客若曾在相關期間搭乘馬航或由合作航空公司轉接，也可查看訂位信箱與會員帳戶是否收到正式通知，並把航空會員密碼與其他網站分開。若相同密碼曾重複使用，應從重要信箱、金融與旅遊帳戶依序更換，開啟多因素驗證。這些措施不表示個人已確定受害，而是降低訂位資料被用來冒充客服後的連鎖風險。

馬航旅客目前不需要取消行程或恐慌換卡，卻應提高對精準詐騙的警覺，並保留航空公司通知。這起事件再次證明，數位旅行的風險不只在航空公司本身，也在全球共用的訂位供應鏈。企業能否快速確認範圍、主動通知並提供可操作的防護建議，會決定事故是否擴大成對旅客的第二次傷害。