航班取消短信詐騙背后

10月份以來，各地不斷曝出“航班取消”短信引發(fā)的詐騙案，而且是涉及國內多家航空公司，究竟是哪家公司那個環(huán)節(jié)泄露了乘客信息成為一大謎團，警方介入調查后也暫無下文。

有業(yè)內人士向網易財經爆料，國內多數(shù)航空公司和代理商都在使用中航信機票銷售系統(tǒng)，而該系統(tǒng)下的B系統(tǒng)(航空公司系統(tǒng))功能強大，可以查詢幾乎所有乘客的身份信息，航空公司等各方對這個系統(tǒng)的濫用以及缺乏監(jiān)控，有可能是引發(fā)大規(guī)模短信詐騙案的源頭。

航班取消短信詐騙10月份超80次

成都一位白女士9月份通過某旅游類網站預定了四川航空10月1日和10月7日至北京的往返機票。10月6日，身在北京的她，收到一條自稱是川航電子票務中心的短信。

短信稱，白小姐預定的返程航班已取消，需要改簽或退票。情急之下白小姐隨后撥打該條短信留下的以4008開頭的電話號碼，對方準確地報出她的身份證號、購票付款金額和網上交易所用的支付銀行。她信以為是川航客服，在對方推薦改簽航班以及轉賬提示下，她先后三次轉給對方逾1.1萬元，但當她轉賬完再次確認自己的航班時，卻發(fā)現(xiàn)航班根本沒有取消。

據悉，10月份以來，有大量網友在微博等平臺上公布了與白楊類似的遭遇，即乘客在航班起飛前突然收到短信稱，飛機航班因故取消，要求打電話改簽或退票，并且短信中乘客的身份證號、航班信息都準確無誤，不少乘客由此誤以為是客服電話，按對方提示操作而轉賬受騙。

據民航資源網不完全統(tǒng)計，10月初到10月31日，已有80多位網友通過微博公布了他們遭遇“航班取消”詐騙短信的經歷，亦有不少網友評論稱收到過詐騙短信，而涉及的航空公司還在持續(xù)增加，包括國航、東航、南航、深航、山航、川航、祥鵬航空。

根據統(tǒng)計，此類案件涉及東航10次、南航30次、深航7次、山航9次、國航5次、川航1次、祥鵬航空1次，網友未透露所乘航空公司的有19次。而訂票渠道有，航空公司官方熱線2次、航空公司官網21次、去哪兒10次、攜程1次，網友未透露訂票渠道有48次。

網易財經了解到，截至11月9日，仍有網友在微博上表示收到了類似的短信，且該網友的短信截圖顯示時間為11月9日。而前述受害人白楊至今僅是收到川航的統(tǒng)計受害情況的電話，其報案后警方方面也沒有任何進一步的消息。

值得注意的是，此次短信詐騙波及的航空公司較多，但還沒有網上案例顯示訂春秋航空的機票出問題。春秋航空發(fā)言人張武安近日向網易財經證實，春秋航空尚沒有收到客戶受騙的信息。據其介紹，春秋航空從2005年首飛至今用的都是自主開發(fā)的系統(tǒng)，“對客戶信息保密”。

中航信機票銷售系統(tǒng)被疑有漏洞

于是，一系列的航班取消短信詐騙事件似乎都把矛頭引向了機票銷售系統(tǒng)。更有分析指出，是中航信的機票系統(tǒng)存在漏洞才導致泄密。對此，網易財經撥打中國航信董秘辦公室電話，其工作人員在電話中強調，“不可能”有內部泄密或系統(tǒng)漏洞。

中航信官方微博航旅縱橫在對網友的回應中稱，“對信息保護我們具有非常嚴格的規(guī)定，要是有機會你可以親身到航信感受一下。中航信服務民航這么多年，不安全怎么得了，我們的工作人員也都是有職業(yè)操守噠!我們是良心企業(yè)!”

據中國民航信息集團公司控股的中國民航信息網絡股份有限公司官網資料顯示，其主要客戶是面向航空公司、機場、機票銷售代理等相關機構，包括近30家國內航空公司以及近200家地區(qū)及海外航空公司，國內169家機場以及近7000家機票代理人，服務范圍覆蓋到300個國內城市、80個國際城市，是目前航空旅游行業(yè)領先的信息技術及商務服務提供商。

根據中航信2012年財報，其電子旅游分銷系統(tǒng)處理的國內外商營航空公司的航班訂座量約3.47億人次，較2011年同期增長8.9%，其中處理中國商營航空公司的航班訂座量增長約8.2%。

“看到這些詐騙案，我的第一反應就是中航信的(eTerm)的B系統(tǒng)”，機票代理商王業(yè)(化名)向網易財經表示。據了解，中航信在國內航空信息技術服務領域占據了壟斷地位，其機票銷售系統(tǒng)在國內除了春秋航空是自建系統(tǒng)外，幾乎其他航空公司都在使用。

據悉，eTerm機票銷售系統(tǒng)是中航信為代理人、航空公司開發(fā)的基于PC的仿真終端軟件，或稱通用網絡前端平臺，是航空機票操作員的專業(yè)系統(tǒng)，可以實現(xiàn)查詢、預訂、出票、退改簽等一系列的操作。

另一位業(yè)內人士李輝(化名)告訴網易財經，eTerm機票銷售系統(tǒng)其實還細分為C系統(tǒng)(代理人系統(tǒng))、B系統(tǒng)(航空公司系統(tǒng))、J系統(tǒng)(離港系統(tǒng))三種。

其中，C系統(tǒng)被業(yè)內人士稱為“小系統(tǒng)”，僅供機票銷售代理人一方使用，只可以查看本Office出票的客票信息，即機票銷售代理人只可查看所屬航空公司的航班信息，如果想提取訂位編碼(PNR)(如姓名、身份證、電話號碼、航班等)，還需要授權。

而供航空公司使用的B系統(tǒng)則功能強大，被業(yè)內稱為“大系統(tǒng)”，可以查詢航班座位銷售情況，每個航班艙位上座率，航班記錄出票數(shù)與預訂數(shù)，某個航班上出票的訂位編碼(PNR)等。李輝表示，“比如機票超售的情況，C系統(tǒng)看不到，而B系統(tǒng)能清楚看到”，“任何一家正規(guī)售票處，都可以用B系統(tǒng)查到國內所有航班的所有乘客信息”“只要是中航信系統(tǒng)訂的位，基本上在國內訂票都能查”。

網易財經在網上搜索的eTerm機票銷售系統(tǒng)的一些材料中，有截圖顯示了乘客的電話和身份證信息。

內部系統(tǒng)查詢乘客信息不受控制

按說機票銷售代理人是無法直接使用B系統(tǒng)的，但是王業(yè)表示，一些大的機票代理商可以和航空公司私下溝通，通過各種方式弄到B系統(tǒng)的原始配置，功能較為齊全，而小代理商也會通過網上的一些辦法找到出租的B系統(tǒng)的放大系統(tǒng)，“因為代理的工作需要，實時查詢航班上座率等，而C系統(tǒng)這些功能不夠”。

但是，B系統(tǒng)的放大系統(tǒng)只能查詢乘機人的主要數(shù)據，電話號碼卻是隱藏的，而航空公司以及部分大代理使用的B系統(tǒng)原始系統(tǒng)則可以查詢所有乘客信息，網易財經與一位在網上做B系統(tǒng)出租業(yè)務的人士確認了這一點。

大的機票代理商能通過B系統(tǒng)查詢乘客信息，這只是信息泄露的一種可能源頭，此外，更主要的是航空公司內部，對B系統(tǒng)的濫用和監(jiān)控更加不可防范。

李輝指出，雖然B系統(tǒng)在航空公司內部使用也分了等級，但真正懂B系統(tǒng)的人不需要相關信息就能查詢乘客的PNR信息、各個航班的訂位信息和出票記錄，“這要看操作人會不會這些查詢指令了，這個需要業(yè)內資深人士才懂得操作”。據其介紹，其在上一家公司曾擔任經理職務，權限較高，對B系統(tǒng)比較熟悉。

李輝強調，B系統(tǒng)每一次操作都有記錄，包括查詢指令也有記錄，但是，“僅僅發(fā)出查詢指令是不侵權的，除非你能拿到那人泄密的證據”，“如果用系統(tǒng)瞎亂操作，航空公司馬上就會知道，但如果只是查詢無操作，幾乎是沒人管”。

B系統(tǒng)的使用權限外流的現(xiàn)象也是大量存在。網易財經日前以“eTerm 出租”、“全航 B系統(tǒng)”“大系統(tǒng) B系統(tǒng)”等關鍵詞在網上進行搜索，發(fā)現(xiàn)做相關出租業(yè)務的公司不在少數(shù)。

網易財經撥打了這些公司電話，其中一家表示自己公司和航空公司關系好，所以能拿到系統(tǒng)，據介紹，“全航B系統(tǒng)”價格是“3000元一個季度，包20000次流量”，功能是“只能查詢不能操作”。當被問及能否以個人名義租用時，對方表示只要簽個協(xié)議傳真過去就可以。

據此可以發(fā)現(xiàn)，能查詢所有航班乘客信息的中航信B系統(tǒng)，航空公司、大機票代理商、網站銷售平臺以及小機票代理都能通過自己的方式接觸并使用。

業(yè)內建議系統(tǒng)不顯示乘客電話

對于究竟是哪一方有可能通過B系統(tǒng)泄露航空公司乘客信息，李輝認為，真正懂得操作B系統(tǒng)的都是資深人士，“分析來看，最大的可能性，應該是在航空公司上班的人”。

而王業(yè)則表示，一些在網上銷售機票、沒有資質的小代理商出問題的可能性比較大，“這些代理商不需要交押金，成為一家航空公司代理，沒有簽訂協(xié)議就能看所有航空公司訂票信息，而一旦出問題找不到人了，航空公司唯一可能的處罰就是把這家代理從系統(tǒng)中屏蔽掉”。

值得一提的是，李輝和王業(yè)都指出，航空公司要求乘客訂位編碼(PNR)里必須留手機號碼，“是方便在航班延誤或變更時，航空公司好聯(lián)系乘客”，但B系統(tǒng)可以查詢乘客的信息為業(yè)內所共知，“為了避免(因客戶信息泄露)惹上麻煩”，他們一個不約而同的措施是，用自己的號碼代替客戶的號碼。

對于如何避免短信詐騙案的發(fā)生，李輝建議，“中航信所有的訂位編碼里，應該取消輸入手機號碼，這樣就找不到乘客本人。訂位編碼里不用輸入手機號，可以只留售票處的聯(lián)系方式，要求售票處保留乘機人的聯(lián)系方式”。

不過這樣，“售票處也可能直接出售乘機人的聯(lián)系信息”，他補充，“對泄密沒有絕對的解決方法”。李輝認為，目前要做的就是提醒乘客防范風險。

“系統(tǒng)沒問題，問題在操作的人，畢竟是人在操作”王業(yè)表示，以前沒有集中出現(xiàn)過類似的短信詐騙，而現(xiàn)在集中發(fā)生，或許是恰好被騙子發(fā)現(xiàn)了這個漏洞;“中航信(系統(tǒng))只是數(shù)據的接口，操作系統(tǒng)的是人”，李輝也如是強調，“本身各自都沒有問題，是中間有人利用了漏洞”。