Amadeus 訂位系統漏洞波及亞洲多家航空，新航約 4.6 萬筆訂位紀錄外洩
原始來源： iThome · 2026/11/04
航空訂位系統供應商 Amadeus 於 9 月發現並修補訂位系統軟體漏洞，攻擊者得以存取各航空公司的旅客訂位資訊。日航、全日空與國泰分別約有 9.2 萬、3.8 萬與 5.3 萬名旅客受影響；新加坡航空約 4.6 萬筆訂位紀錄遭未授權存取，包括姓名、訂位代號與航段，未涉及信用卡或銀行帳號。各航空表示自身系統未遭入侵。這起事件再次顯示委外系統供應商是重要的供應鏈風險。
重點先看
Amadeus 訂位系統漏洞讓多家亞洲航空旅客資料外洩，新航約 4.6 萬筆。企業應盤點持有顧客資料的委外系統，並檢視供應商帳號權限。
發生了什麼
依 iThome 2026/11/04 報導，新加坡航空證實受 Amadeus 訂位系統資安事件影響，約 4.6 萬筆旅客訂位紀錄遭第三方未授權存取，主要包含旅客姓名、訂位代號、航段與艙等；其中 620 筆另含電子郵件、電話、旅行文件與常客計畫會員編號。Amadeus 向新航確認沒有信用卡或銀行帳號外洩或遭竄改，新航也強調自身 IT 系統未遭入侵。 Amadeus 於 9 月發現其訂位系統軟體漏洞，讓攻擊者得以存取各航空公司的旅客訂位資訊，並已在 9 月修補。Amadeus 全球約有 141 家航空公司客戶。
受影響航空與資料範圍
Amadeus 先前已通知大韓、韓亞、日航、全日空、國泰、澳航及馬航，公告可能外洩的旅客個資，涉及 2023 年 8 月至 2026 年 9 月間訂位的旅客。其中日航約 9.2 萬人、全日空約 3.8 萬人、國泰約 5.3 萬人受影響；透過全日空使用 Amadeus 旅客服務系統的多家日本區域航空也陸續公告，德國神鷹航空亦被告知資料外洩。臺灣的長榮、中華與星宇截至報導時尚未回應是否受影響。 The Record 引述 Amadeus 發言人表示，漏洞影響訂位顯示環境，部分訂位顯示資料可經由漏洞存取，目前沒有證據顯示付款或財務資料遭存取，也沒有用於勒索軟體的跡象。國泰表示，Amadeus 告知攻擊者使用了「指派給其系統帳號的登入憑證」。
建議立即處置
旅客與企業可依下列方式因應： 1. 旅客留意冒充航空公司的改票、退款或補償郵件與簡訊，不要點擊連結或提供卡號；新航表示將聯絡近期出發旅客更換訂位代號。 2. 企業盤點持有顧客個資的委外系統與 SaaS 服務，確認各自保存哪些資料、保存多久。 3. 檢視供應商使用的系統帳號與 API 權限，改為最小權限並定期輪換憑證。 4. 要求供應商提供事件範圍、期間、資料項目與存取紀錄，並在合約中訂明通報時限。 5. 監看委外系統的異常大量查詢，及早發現資料遭批次讀取。
為什麼重要
航空公司本身系統未遭入侵，旅客資料卻因共用的訂位平臺外洩，這正是供應鏈風險的典型樣貌：一個供應商的漏洞，可同時波及上百家客戶。姓名、訂位代號與航段足以讓詐騙者寄出可信度極高的釣魚訊息。任何仰賴委外平臺處理顧客資料的企業，都應把供應商系統納入自身風險管理。 建議以 DevaEye 軟體安全檢測檢視委外系統與串接安全，並以 CloudCoffer UTDS 偵測異常大量存取。
Cloudforce 可以協助哪些？
針對委外系統與供應商造成的資料外洩風險，可依下列方案對應： 1. DevaEye 軟體安全檢測：檢測自家與委外系統的應用安全、帳號權限與串接設計，協助在供應商評估與驗收時找出漏洞，交付修補建議。 2. CloudCoffer UTDS：盤點與供應商之間的 API 串接，偵測帳號憑證遭冒用造成的驗證異常，以及短時間大量讀取顧客資料的行為。 3. DevaEye MDR 託管防護：7×24 監看帳號濫用、異常登入與資料外傳跡象，協助在事件擴大前研判與應變。
常見問題
哪些航空公司受影響？
公開資訊顯示包括大韓、韓亞、日航、全日空、國泰、澳航、馬航、新航，以及多家日本區域航空與德國神鷹航空。臺灣的長榮、中華與星宇截至報導時尚未回應。
外洩了哪些資料？信用卡有外洩嗎？
主要為姓名、訂位代號、航段與艙等，部分紀錄含電子郵件、電話、旅行文件與常客會員編號。Amadeus 表示沒有證據顯示付款或財務資料遭存取。
旅客需要做什麼？
留意冒充航空公司的改票、退款或補償訊息，不要點擊不明連結或提供卡號；如航空公司通知更換訂位代號，請依官方管道處理。
漏洞已經修補了嗎？
Amadeus 表示於 9 月發現並修補漏洞，並加強監控與偵測能力；實際受影響總人數與攻擊者身分則未公開。
DevaEye 軟體安全檢測能如何協助？
可檢測自家與委外系統的應用漏洞、帳號權限與串接設計，在供應商評估與驗收階段找出風險，降低單一供應商漏洞波及顧客資料的機會。