官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
- 关注
对于爱好飞行的“空中飞人”来说，航空里程早已不是什么新鲜话题。如何利用航司的各种会员等级福利？如何积累里程？如何兑换航线？这些与里程相关的研究和分析，甚至发展成了非常成熟的社区文化。
航空里程也在不断的发展变化中成为了航司提高旅客忠诚度，与常旅客互动的重要手段。
但试想一下，你在一次次旅程中“辛苦”积攒的航空里程、积分，梦想有天兑换一张免费机票“白嫖”一次旅行，结果账户里的积分却在某天被一个素不相识的陌生人全部盗刷......是不是听起来有点匪夷所思？
然而，这种怪事不仅存在，甚至已经形成了一条完整的产业链。
在数字时代的今天，科技的发展不仅为人们的生活带来了便利，同时也为黑客们提供了更多的机会。尤其是近年来航空业逐渐开始依赖IT系统，再加上航空公司在保护客户信息和防范黑客攻击方面存在诸多薄弱之处，这才给了黑客们一个“完美的”可乘之机。
他们一次次利用薄弱的航司系统漏洞，非法牟取他人的航空积分和里程再进行二次售卖，为买家真正实现“免费”坐飞机。
黑客利用航司漏洞，可无限授予任何用户无限里程积分
近期发生了一件事，可以说引起了航旅业的“大地震”。
有安全研究人员发现，全球航空公司和酒店常旅客积分计划的主要数字基础设施提供商之一Points.com的API中存在可利用漏洞。
要知道，许多知名航空公司和酒店通常有自己的常旅客或所谓忠诚度（积分）奖励计划，许多此类计划的数字基础设施（包括达美航空的“飞凡里程常客计划”、美联航的前程万里(MileagePlus)、希尔顿的荣誉客会和万豪旅享家）都搭建在Points.com的平台上，后端系统和服务套件包括API也都由Points.com提供。
而黑客利用这个常旅客系统漏洞，不仅可以窃取客户隐私数据和积分、还可窃取客户的“忠诚货币”（例如里程），并将其转移到自己的账户上，造成受害者账户被掏空的情况。
攻击者还可利用这些漏洞泄漏客户数据、窃取，甚至接管Points全球管理帐户获得对整个忠诚度计划的控制权。甚至可以控制整个系统给任何人授予无限飞行里程或酒店住宿积分。
其实早在今年3月，安全研究人员就发现了包括API遍历和API配置问题等多个漏洞。其中：
API遍历漏洞允许研究人员查询奖励计划的客户订单，并获取包含账户信息、地址、电话号码、电子邮件地址和信用卡号码等敏感数据的订单记录。
API配置问题可导致黑客仅凭姓名和会员编号即可为任意用户生成帐户授权令牌，从而接管客户账户，并控制里程或其他奖励积分。此外，还发现了加密cookie使用易于猜测的秘密进行加密的漏洞，黑客可以轻松解密cookie并获得管理员权限，进而控制整个系统。
诸如此类的积分、里程被盗事件，在日常生活中十分常见。
多位明星曾自曝里程被盗
除了普通人的积分里程可能被盗外，常年奔波辗转多地的演员明星等人的航司账户，更是黑客们眼中的“一块肥肉”。
此前，演员吴磊的一位粉丝晒出与航空公司工作人员的聊天对话音频，称另一名粉丝多次盗用吴磊的航空里程兑换机票，一共用掉了23万飞行里程。
吴磊里程被盗刷一事引发关注后，歌手江映蓉也在其个人微博中称，自己的航空里程被盗了，且被盗里程总数接近30万。江映蓉的工作室还表示，联系航空公司后，并没有收到合理的解释。
演员李晨也发微博称看到新闻出于好奇查了一下，结果自己的里程从2018年起就被盗刷，而且有十来个人享受了这个“福利”。李晨在微博中提到的“您们不买机票，能不能买几张俺的电影票支持一下 ”，看起来是一个调侃，更多是一种无奈。
随便一查就“中招”，这意味着现实生活中利益受损的群体远比我们想象的庞大。只不过当时事件因涉及到明星，事件才很快引起了大家的关注。
但事实上，“里程盗窃”并不是什么新鲜事，早在几年前就曾发生过。
据媒体报道，早在2011年，成都就破获了首起“里程盗窃案”。报道称，一家航空公司代售点员工利用职务之便和系统漏洞，在两个月间盗取了21名乘客的个人信息，转卖了100余万公里里程，获利5万余元，最终因涉嫌盗窃罪被起诉。
另据广州日报报道，曾有两名男子将他人南航明珠会员卡内的28万航空里程积分售卖，其中一名男子将从另一名男子处获得的来路不明的南航会员账户中的里程积分在淘宝上挂出销售，并最终换为四张广州至迪拜的机票。最终，这两人被分别判处有期徒刑两年和一年半。
即便已有多人被判刑的前车之鉴，但还是有不少人铤而走险。毕竟这件事是实实在在的有利可图，免费的机票能不香吗？
积分里程买卖“黑产”猖獗
其实原本这些积分和里程的初衷是奖励给与航司的忠实旅客的，让其用于兑换免费机票、升舱等福利。然而，黑市交易者却通过各种非法手段获取大量的积分和里程，以高价出售给那些不愿意通过正常途径积累积分的人。这不仅损害了航空公司的利益，也剥夺了真正忠诚的旅客享受到应有的福利。
可如今，在利益的驱使下，飞机积分和里程早已变成了一桩桩变质的“生意”，成为了一条地下“黑色产业链”。这种黑市交易的出现，给航空公司和旅客带来了诸多问题和风险。
在部分二手交易平台，已经暗暗滋生出了一条新的购买特价机票渠道。有大量卖家提供里程兑换机票服务或直接出售里程积分，覆盖了包含南航、深航、东航、国航等大部分航空公司，价格为每1万里程400元-500元不等。
这些售卖里程积分的人往往会通过撞库、短信劫持等方式盗取用户信息，通过积分兑换虚拟、实物商品和机票实现套现。另一种积分骗取则是通过短时间内多次购买短途机票使账户升级，通过升级后的账号薅取远途或国际特价机票，倒卖套现。
此前科技研究公司Comparitech就曾发现，有网络犯罪分子在暗网上出售航空公司提供的忠诚度积分，并需要买家通过比特币和门罗币进行支付。由于这些忠诚度积分能够用来进行门票、购物卡、充值卡兑换或者进行其他预定。且有些地方甚至不需要用户出示身份证明就可以进行兑换，因此给了黑客可乘之机。
这些黑客进入航空公司网站的用户个人账户、或者通过伪造的电子邮件、短信或网站采取多种方式获取用户名、密码和PIN等信息。然后立即出售已经入侵的账户或将积分转移到另一个账户，轻松实现积分套现。
如今，个人信息泛滥，里程兑换又主要通过手机绑定，极易被黑客所利用；在个人里程积分被盗用后，个人维权成本又太高，很多人嫌流程繁琐，就干脆放弃维权了，因此这个事情也多年未得到应有的重视。
里程积分被盗的背后，是航司逃不过的“锅”
其实究其根本，这些航司会员里程积分被盗与信息泄露有脱不开的干系。因为盗取里程积分就像游戏“盗号”一样，只要有用户个人信息，破解密码，绑定其他的手机号码，就能使用。
而这与航司系统不完善，在管理和保护乘客的积分账户时存在一些潜在的系统漏洞或安全漏洞等问题息息相关。
比如，航空公司缺乏多重身份验证、弱密码策略、未及时更新系统补丁和安全更新，这就使得攻击者可以通过猜测密码、使用恶意软件或网络钓鱼等手段获得乘客的登录凭据，并进而访问和盗取里程积分。
另一方面，航空公司的系统可能存在技术漏洞或安全隐患。攻击者可能利用这些漏洞来绕过安全措施，获取对乘客积分账户的访问权限。这可能是由于系统设计上的缺陷、不当的配置或过期的软件等原因所致。
当里程积分被盗时，乘客可能面临积分丢失、航班预订困难以及个人信息泄露等问题。而在这个积分里程追回的过程中，乘客可能需要花费大量时间和精力与航空公司联系并解决纠纷，甚至最终仍可能无法完全恢复被盗的权益。
亡羊补牢犹未晚矣。我们必须承认，在信息裸奔的今天，航司想完全守住乘客的信息不外泄很困难，但也不能就此放任不管。航空公司应选择更加安全的系统架构、采用强大的身份验证措施、实施监测和警报机制，并及时修补可能存在的漏洞。
航司存在漏洞这件事的确在所难免，引起重视并付诸保障广大乘客信息安全的行动势在必行。
但对于黑客来说，通过利用航司安全漏洞，窃取积分、里程，或控制整个系统非法授予他人飞行里程或酒店住宿积分的行为，最终面临的归宿必将是“牢狱之灾”，需时刻谨记，切勿触碰法律的红线。
而对于我们消费者来说，想防止里程积分被盗，现在能采取的措施一个是加强航司会员账户密码强度设置，再一个就是里程别留太多，尽量尽早使用。
同时，在外出旅游购票时，也更加冷静的审视所有交易信息，尽量在合理价格区间内寻找符合自己心理预期的旅游产品与服务，不“贪小便宜”选购他人非法盗取的里程购票。在充分保证合法、安全的前提下，以更加放松的心态享受旅行时光。
参考链接：
https://www.chinaz.com/2023/0427/1519794.shtml
https://baijiahao.baidu.com/s?id=1677441212174708689&wfr=spider&for=pc
- 0 文章数
- 0 关注者