超2.2亿条航班乘客数据公网暴露——数据安全的"阿喀琉斯之踵"

2026年9月9日 · 行业动态

超2.2亿条航班乘客数据公网暴露——数据安全的"阿喀琉斯之踵"

9月9日，安全研究人员披露了一起严重的数据泄露事件：一个疑似越南的APIS（旅客预报信息系统）数据库在公网上无保护暴露，里面包含超过2.2亿条航班乘客和机组人员的数据。

泄露的数据字段包括：姓名、出生日期、性别、国籍、护照号码、签发国家、航班号、座位号、起飞和到达机场……几乎涵盖了航空旅客的全部身份和行程信息。

2.2亿条——这不是几千几万的小泄露，而是一次大规模的数据安全事故。更令人担忧的是，这样的事情正在变得越来越频繁。

一、事件梳理

发现过程

安全研究员在进行公网基础设施测绘时，发现了一个未设密码的Elasticsearch数据库实例。进一步调查发现，该数据库存储了大量航班旅客的APIS数据。

APIS（Advance Passenger Information System，旅客预报信息系统）是各国海关和边检部门用于收集入境旅客信息的系统。航空公司在航班起飞前，需要将旅客信息传送给目的地国家的APIS系统。

数据规模

泄露原因

目前确认的直接原因是数据库未设置访问密码，直接暴露在公网上。也就是说，任何人只要知道IP地址，就能下载全部数据。

这个原因听起来很"低级"——不就是忘了设密码吗？但现实中，大量的数据泄露事件都是由这种"低级错误"导致的。

二、为什么数据泄露屡禁不止

每次大规模数据泄露事件发生后，大家都会问：为什么这种事情一再发生？技术在进步，法规在完善，但数据泄露的规模和频率似乎有增无减。

原因一：数据量爆炸式增长

企业收集和存储的数据量正在呈指数级增长。以前可能只有几十万条用户信息，现在动辄数亿条。数据越多，被泄露的概率自然越大，泄露后的影响也越严重。

原因二：系统复杂度不断提升

现代IT系统越来越复杂——微服务、云原生、大数据平台、数据中台……一个企业的数据可能分散在几十个系统里，每个系统的安全配置都不能出错。出错的节点越多，整体的安全保障就越难。

原因三：安全配置错误普遍

Gartner的统计显示，超过95%的云安全事故是由配置错误导致的。数据库没设密码、存储桶设为公开、安全组规则写错、访问密钥硬编码在代码里……这些"低级错误"才是数据安全的最大敌人。

原因四：第三方和供应链风险

很多数据泄露不是发生在企业自己的系统里，而是出在第三方合作伙伴、外包公司、云服务商的身上。数据共享和流转的环节越多，泄露的风险点就越多。

原因五：攻击面持续扩大

以前黑客要入侵企业内网才能偷数据，现在很多数据直接放在云上——云数据库、云存储、大数据平台……只要一个配置错了，数据就直接暴露在公网上。

三、2.2亿条数据泄露意味着什么

对个人的风险

  1. 精准诈骗：有了你的真实姓名、护照号、航班信息，骗子可以编出非常可信的诈骗剧本——"您好，您XX月XX日的航班取消了，请点击链接办理退票"
  2. 身份冒用：护照号等身份信息泄露后，可能被用于开设账户、办理业务等身份冒用行为
  3. 隐私侵犯：你的出行记录、活动轨迹等个人隐私被不法分子掌握
  4. 长期风险：这些数据会在暗网上被反复交易，风险不是一次性的，而是长期持续的

对行业的警示

航空、铁路、酒店等出行行业掌握着大量的个人身份信息和行程数据，是数据泄露的重灾区。这些行业的数据安全投入和防护水平，亟需大幅提升。

对监管的挑战

跨境数据流动的安全监管是个世界性难题。数据在全球范围内流转，出事了谁来管、怎么追责、怎么补救？现有的监管框架还远远不够完善。

四、企业如何加固数据安全防线

数据安全没有银弹，但做好以下几件事，可以挡住90%以上的数据泄露风险：

1. 做数据分类分级

不是所有数据都是同等重要的。把数据按敏感程度分类分级，对最重要的数据投入最强的防护资源。不要试图用同样的力度保护所有数据——那等于没有重点。

2. 收敛数据暴露面

3. 访问权限最小化

4. 加密！加密！加密！

5. 配置安全审计

6. 数据流出管控

五、结语

2.2亿条航班乘客数据公网暴露——这不是第一次大规模数据泄露，也不会是最后一次。每次出事之后，我们都会说"要重视数据安全"，但说得多、做得少。

数据安全这件事，平时看不见、摸不着，出事了就是天大的事。很多企业宁愿在营销上花几千万，也不愿意在数据安全上投入几十万。直到数据泄露了，才发现罚款、赔偿、品牌损失加起来，比安全投入多了成百上千倍。

对于互作云这样的云服务商来说，数据安全是立身之本。客户把数据存在你的平台上，就是把信任交给了你。这份信任，比什么都重要。

数据安全的防线，筑在每一个配置、每一次审计、每一道权限里。 它不酷炫、不性感，但它是底线。

← 返回文章列表