剛剛預訂了航班，馬上就接到“航班因故取消”的電話，電話那頭，有人自稱航空公司的客服，并能準確報出乘客的乘機信息———不少人因此掉以輕心，受騙上當。

　　與此同時，明星的航班信息公然在QQ群和微信等地，標價叫賣。南都記者了解到，一條售價僅需7元。不光航班信息可售，明星的證件、護照及手機號碼亦可打包出售。近日，南都記者調查發(fā)現(xiàn)，乘客航班信息的安全隱患依然存在，以很低的成本就能查詢到旅客的基本信息。

　　其中，曾于2016年10月被央視《焦點訪談》點名曝光的中航信系統(tǒng)，事后并沒有徹底堵住漏洞，網上依然有不少不法商家公開出租中航信的民航旅客訂座系統(tǒng)(ETERM系統(tǒng))，有的聲稱只要500元便可買5萬個流量，可查詢包括部分航空公司的旅客出行記錄等。

　　4月19日下午5時，南都記者與同伴兩人通過攜程商旅訂了深圳航空航班號為ZH9443航班，從廣州飛往四川，機票價格為1510/人。當天下午5時30分，通過該系統(tǒng)，南都記者順利檢索到了自己和同行者的相關信息。

　　中航信對南都記者回應稱，依規(guī)發(fā)放給機票代理人的系統(tǒng)配置和權限，僅能查詢自身銷售的客票信息和其他人授權的客票信息，即使通過某種軟件所分出的賬號也只能查詢自身客票信息。

　　加盟代理明星航班5元出售

　　4月19日，小北(化名)發(fā)布微博稱，朋友在某知名商旅網站訂購兩張機票，最終信息外泄，導致被騙一萬多元。小北告訴南都記者，對方自稱航空公司客服要求改簽，由于對方能準確報出具體的航班信息，朋友因此上當。

　　與小北的朋友一樣，收到過類似航班詐騙短信的人并不少。

　　南都記者調查發(fā)現(xiàn)，要想獲得某一乘客的航班信息并不難，7元就可買到明星的航班信息。4月20日，南都記者以“航班信息”等關鍵詞進行搜索，發(fā)現(xiàn)在微博、QQ群和微信上，不少人貼出明星的航班信息。

　　4月20日，南都記者加入一個名為“明星航班早知道”的QQ群。群里不時會貼出最近的明星航班，包括起降時間、往返地點等。

　　南都記者在該群聯(lián)系了一個名為“妧小小”的商家。隨后，“妧小小”讓南都記者加微信“A妧小小”。

　　南都記者發(fā)現(xiàn)，在她的QQ空間和微信朋友圈里有大量明星航班信息，其中介紹稱，你想要的都有，包括明星航班微信……證件護照手機號可單買可打包，平均幾毛一個，還教查詢航班的方法，國內國外都可以。

　　“妧小小”還在朋友圈發(fā)文介紹：“120元大包帶走鹿晗微信+護照+微博小號”，平均一個40元。

　　“妧小小”告訴南都記者，收費標準一般按照查詢的難易程度來定。“如果難查就是10元，不難查就是7元”。“妧小小”說，“今天有人查過張信哲的航班信息，收費20元”。

　　她向南都記者發(fā)來幾張圖片，顯示查詢可以精確到選座信息。圖片顯示，幾天后(涉及當事人隱私，故隱去，下同)從義烏飛往北京的航班上，張信哲的選座信息顯示為“未選座”。

　　不僅國內明星，國外明星的航班信息也可利用護照查詢。“迪瑪希的航班有點棘手，如果問內部人員可能要貴一點，收費18元。”“妧小小”向南都記者傳來的一張圖片顯示，迪瑪希幾天后的早上8點05分，將乘坐南航某航班，從長沙出發(fā)，9點50分抵達西安。

　　值得一提的是，除了航班信息之外，“妧小小”也出售明星證件、護照、手機號、微信甚至微博小號等信息，每個售價50元。

　　“妧小小”告訴南都記者，自己正在招代理。如果成為她的代理，拿明星證件、手機號、微信和護照只需要25元，航班信息5元即可。

　　“你宣傳好，自然會賺很多，顧客多的話一個月幾千，一天幾百元。”

　　在交了50元代理費后，南都記者成為“妧小小”的下線。她發(fā)來一段入門必知內容，聲稱剛入行的人員記得要去微博、貼吧、QQ等宣傳招攬顧客，不能偷懶。每出單一次就要在朋友圈里發(fā)一次，增加信譽度。同時，她還提醒入這行就該懂得和顧客說話。比如，當顧客詢問怎么拿到明星微信時，應該這樣回答，“我們圈里會有專門的人查詢。”當問及怎么保證是真的，可以這么回復，“圈子里很多同行都認定的我們才賣。”

　　“妧小小”總結，“做微商就是要精明，不可以感情用事，也不可以怕事，為了賣出商品有時候適當用些手段，比如夸大說辭等”。

　　多個渠道成為信息泄露源

　　那么，乘客的航班信息是如何泄露出去的呢?多名民航業(yè)內人士告訴南都記者，信息泄露的根源在航班訂位系統(tǒng)。

　　國內航空專家林智杰稱，由于現(xiàn)在國內各大航空公司的訂票系統(tǒng)，除春秋航空外，基本都使用的是中國民航信息集團公司(簡稱中航信)的系統(tǒng)，旅客的航班等信息也均在系統(tǒng)中儲存。所以，有權限查看并有可能泄露信息的主要有四大類人群。

　　第一種是機票代理商，比如一些知名商旅網站的相關工作人員，能夠通過中航信發(fā)放的代理商賬號查到乘客信息。這種方法能查詢到的主要是通過代理商渠道購買機票的乘機人信息。

　　第二種是航空公司的工作人員，主要包括營銷部門的經理主管、地服、值機、安檢人員等。這類工作人員能查詢到的是購買所在航空公司機票的乘機人信息。

　　第三種是中航信工作人員。由于全國絕大多數(shù)航空公司的乘機人信息都會在中航信系統(tǒng)中存儲，中航信的相關工作人員能查詢到絕大多數(shù)旅客的個人信息。

　　最后一種比較特殊，即一些黑客利用員工密碼或系統(tǒng)漏洞進入中航信系統(tǒng)并查詢信息。

　　公開資料顯示，無論是在國內哪個訂票網站或航空公司官網訂票，出行者的個人信息都會被提供給國內最大的機票分銷系統(tǒng)服務提供商———中航信。中航信開發(fā)的機票銷售系統(tǒng)可以進行查詢、預訂、出票和退改簽等操作。

　　南都記者了解到，中航信信息系統(tǒng)，是中航信面向航空公司、機場、機票銷售代理等機構，提供航空客運業(yè)務、航空旅游電子分銷、機場旅客處理等業(yè)務的信息平臺。該信息系統(tǒng)主要包括核心網絡、電子客票系統(tǒng)、民航旅客訂座系統(tǒng)(ETERM系統(tǒng))、離港控制系統(tǒng)。其中民航旅客訂座系統(tǒng)(ETERM系統(tǒng))又包含代理人分銷系統(tǒng)(CRS系統(tǒng)，簡稱C系統(tǒng))、航班控制系統(tǒng)(ICS系統(tǒng)，簡稱B系統(tǒng))。B系統(tǒng)可以提供的信息相對較多，不僅可以查到大量航班的座位預訂情況和實際出票量，還包括航班上的訂位編碼(PNR)，乘客的航班、座位、艙位、價格、姓名、身份證、電話號碼等信息均在其中。

　　通常，中航信只會發(fā)給經銷商一個賬號，但經銷商可以通過某軟件分出若干個登錄小號。這套軟件任何人都可以下載，下載安裝之后，只要有登錄賬號就可以訪問中航信的數(shù)據(jù)庫。

　　也就是說，有了這些賬號就等于拿到了打開航班信息庫的鑰匙，也就可以獲取旅客的航班信息。這讓中航信旅客信息泄露問題屢遭詬病。

　　一位業(yè)內人士稱，早在幾年前，他就曾通過網頁下載ETERM軟件，當時任何人都可以隨便查看航班信息。每當有熱點人物出現(xiàn)時，他有時會隨手搜索一下，比如當郭美美炫富時，他就查了她的航班信息，了解到她與媽媽一同出行。“那個時候真是隨便看。”其稱，大概在三四年前，該系統(tǒng)被中航信部分屏蔽，現(xiàn)在只有賬號權限較高的人才可以看到所有信息。

　　500元可買到代理人賬號

　　盡管如此，還是有服務商有路可循。其中俗稱“黑屏系統(tǒng)”的民航旅客訂座系統(tǒng)(ETERM系統(tǒng))便常被不法分子違規(guī)利用。

　　南都記者調查發(fā)現(xiàn)，在網上存在大量出租中航信查詢賬號的廣告，聲稱可以“提取航班信息”、“查詢明星行蹤”。

　　南都記者在網上以“ETERM系統(tǒng)出租”等關鍵字進行搜索，聯(lián)系上一名服務商，其聲稱500元便可買5萬個流量，可查詢包括部分航司的旅客信息、具體旅客的出行記錄等。

　　除了出租系統(tǒng)賬號以外，南都記者調查發(fā)現(xiàn)，有一些服務商更是直接出售旅客信息。一名名為“cc”服務商告訴南都記者，自己使用的是航司B系統(tǒng)原始配置，“身份證、票號、電話都有”，7元一條，50條起售。為了讓南都記者信服，“cc”還貼出與多名客人交易的截圖，有的人要求“早上的數(shù)據(jù)要50條，晚上的數(shù)據(jù)要50條”。

　　一名服務商甚至在微信朋友圈中貼出鄧超2016年的多條出行記錄來招攬生意。截圖顯示，其中一條行程是2016年3月的一天，從上海飛往廈門，而南都記者搜索發(fā)現(xiàn)，當日，鄧超確實到達廈門機場為“跑男”錄制了節(jié)目。

　　從一名曾在此購買賬號、密碼的知情人手中，南都記者得到了一組賬號密碼，隨后成功在中航信官方網頁下載的ETERM軟件登錄。

　　記者親測查到同事航班記錄

　　南都記者了解ETERM查詢語言得知，通過輸入不同的指令，系統(tǒng)可以搜索出不同信息。如通過相關指令查詢指定身份證號，可得出指定對象在半年內部分航司的出行記錄以及對應票號;而通過輸入具體日期等某一班次航班以及顧客姓氏的開頭字母，可提取該航班的符合條件的所有顧客信息以及PNR編碼(旅客訂座記錄);再輸入另一個指令查詢PNR編碼，旅客的姓名、身份證信息、訂票電話甚至常用銀行卡號，則全部暴露無遺。

　　不同指令查詢到的內容通過交叉檢索，便可得到更多信息。

　　也就是說，只要擁有足夠的權限，只要在一個隨機航班里選擇某名張姓乘客，就可以查出其身份證信息，從而得到他的出行記錄。

　　南都記者測試發(fā)現(xiàn)，該賬號只能查詢到部分航空公司以及半年內的出行記錄。在多名同事的授權下，記者以身份證號在系統(tǒng)上進行查詢，符合條件者均出現(xiàn)了對應的航班記錄。

　　值得一提的是，南都記者親測，剛買的航班信息也可以在該系統(tǒng)上查詢。

　　4月19日下午5時，南都記者與同伴兩人通過攜程商旅訂了深圳航空航班號為ZH9443航班，從廣州飛往四川，機票價格為1510元/人。當天下午5時30分，通過該系統(tǒng)相關指令查詢這趟航班的相關姓氏，系統(tǒng)上直接出現(xiàn)了南都記者與一起訂票同伴的姓名與身份證號，還有一個電話號碼。

　　南都記者嘗試撥打該電話，了解到對方是在某旅游平臺負責訂票業(yè)務的工作人員何先生。他稱，當顧客向平臺提交訂單信息后，他們可以看到姓名、身份證或護照等信息。在幫顧客訂完票后，他們需要將航空公司發(fā)送的航班信息進行編輯，然后轉給顧客，而其中不存在泄露信息的情況。

　　相反，何先生稱，自己經常接到騷擾電話，有時一天十幾個電話，包括保險、買房和理財?shù)取．斈隙加浾吒嬷�，他的電話號碼出現(xiàn)在航班信息查詢系統(tǒng)中時，何先生表示很驚訝。

　　那么，這些服務商所能提供的代理賬號又來自哪里呢?

　　南都記者查閱裁判文書網了解到，2015年12月，山東省濟南市歷城區(qū)人民法院曾審理一起案件。2013年11月，原系中航信職工的高某某將其掌握的B系統(tǒng)賬號私自提供給多人使用，使他們可以查詢B系統(tǒng)內的數(shù)據(jù)信息。高某某因此獲利203066元。

　　判決書顯示，高某某一審因提供專門用于侵入計算機信息系統(tǒng)工具罪，被判處有期徒刑三年，緩刑五年，并處罰金八萬元。

　　公司回應

　　中航信：代理人僅能查詢自身銷票和他人授權信息

　　針對航空乘客信息泄露問題，4月20日，中航信方面向南都記者回應，中航信依規(guī)發(fā)放給機票代理人的系統(tǒng)配置和權限，僅能查詢自身銷售的客票信息和其他人授權的客票信息，即使通過某種軟件所分出的賬號也只能查詢自身客票信息。

　　此外，根據(jù)相關規(guī)定，中航信在向代理人發(fā)放系統(tǒng)配置和權限之前，與其簽訂有明確的使用協(xié)議，規(guī)定代理人不得擅自使用未認證的設備或產品接入中國航信系統(tǒng)，不得向自己工作人員之外的人員提供中國航信的系統(tǒng)配置和權限，不得利用配置和權限進入中國航信系統(tǒng)或使用銷售服務來獲取系統(tǒng)中數(shù)據(jù)。

　　中航信相關工作人員也表示，早在2010年，中航信就針對代理人利用外掛平臺的行為進行了堅決的清理，違規(guī)行為得到了有效控制，這類外掛平臺其中一個重要的功能就是將中國航信發(fā)放給中航協(xié)所批準的機票代理人(經銷商)的配置和權限違規(guī)分出若干個登錄賬號，對外提供機票銷售和服務。

　　4月20日，攜程方面則對南都記者表示，攜程機票業(yè)務及信息安全部門監(jiān)管嚴格，會定期反復排查，目前沒有任何證據(jù)顯示客戶信息泄露與攜程有關。

　　該工作人員同時稱，攜程內部有嚴格的安全控制措施，客戶信息的傳輸和保存始終處于加密狀態(tài)，任何未經授權的人員都無法取得這些資料。

　　維權困境

　　顧客面臨取證難難證明泄露源頭

　　南都記者注意到，此前針對信息泄露問題，消費者和航空公司也曾“對簿公堂”。

　　2013年，李某通過四川航空公司(下稱“川航”)官方服務電話購買機票后，被詐騙短信通知航班取消，在未核實的情況下重新購買機票。之后，李某一紙訴狀將川航以“信息泄露”為由告上法庭。

　　對此，川航解釋稱，自2005年起，川航便與中航信簽約，由中航信代為提供航班控制系統(tǒng)服務、計算機分銷系統(tǒng)服務、民航商務數(shù)據(jù)網絡服務和訂座系統(tǒng)延伸服務。因而，川航所收集的旅客信息都會錄入該系統(tǒng)中，但無法對這些信息在傳遞、使用過程中的安全直接進行有效監(jiān)控。

　　川航表示，在短信詐騙頻發(fā)時期，全國各大航空公司均有涉及此類詐騙案例，唯有不使用中航信公司訂票系統(tǒng)的秋航空未有涉及。李某航班信息泄露可能是訂票系統(tǒng)的環(huán)節(jié)出現(xiàn)了問題，被不法分子利用。

　　北京志霖律師事務所副主任、中國政法大學知識產權研究中心特約研究員趙占領律師告訴南都記者，類似乘客航班信息被泄露的事情很多，但是由于取證難的問題，很少有人進行起訴。因為掌握信息的主體，包括航空公司、代理商、在線訂購網站、中航信等，很難證明究竟是從哪里泄露信息的。

　　趙占領說，消費者能做的非常有限，就是提高警惕性，增強防騙意識。比如別訪問釣魚網站，遇到航班取消的客服電話，最好再打電話給官方客服確認。他提醒，盡管顯示的號碼可能是航空公司，但是號碼可以通過改號軟件修改，所以需要反復確認。

　　攜程相關工作人員告訴南都記者，客人在預訂機票后，可以使用訂票軟件查詢準確的航班信息，減小被詐騙的幾率，如果收到詐騙短信，應立即報警。

　　南都記者查詢國務院法制信息辦看到，中國民用航空局于今年2月21日起草了《民航網絡信息安全管理劃定(暫行)(征求意見稿)》。根據(jù)國內民航發(fā)展的實際情況，從制度和技術層面對旅客信息保護加以規(guī)定，主要包括旅客信息保護制度、收集使用旅客信息的規(guī)定以及旅客信息轉移或委托的規(guī)定。

　　針對“退改簽詐騙”、“航空詐騙”等頻發(fā)問題，規(guī)定指出：民航各單位應當制定旅客信息保護軌制，對在提供服務過程中收集、使用的旅客信息，應當采取相應措施嚴格保護，不得泄露、篡改或者毀損，不得出售或者非法向他人提供。在發(fā)生或者可能發(fā)生旅客信息泄露時，應當立刻采取補救措施。規(guī)定同時強調，民航各單位將旅客信息轉移或委托給其他組織或機構使用的，應當簽訂旅客信息保護協(xié)議，明確旅客信息使用范圍和保護責任。