67％酒店在無意中泄露個人信息，第三方服務商可以替你取消訂單

　　繼

　　華住旗下酒店1.3億客人入住信息泄露

　　，以及萬豪旗下喜達屋酒店3.83億客人開房信息泄露等事件後，酒店信息泄露似乎已經不是什麼新鮮事。據瞭解，事件原因大多是數據庫被黑客入侵。

　　然而，近日美國知名網絡安全技術廠商賽門鐵克測試了54個國家的1500多個酒店，卻發現三分之二都在泄露包括客人姓名、手機、郵箱、護照號碼在內的訂單信息，而酒店自己可能根本沒有意識到。這到底是怎麼回事？

　　第三方服務商可以替客人取消訂單

　　4月9日，賽門鐵克首席威脅研究員Candid Wueest發表了一項針對酒店泄露客人個人信息的研究結果。他根據自己喜歡的度假地點，選擇了搜索結果中排名最高的54個國家的1500多個酒店進行測試，從兩星級到五星級的都有，地點遍佈鄉村和海邊的高檔度假區。

　　他發現，這些酒店中有三分之二都在無意中將預訂代碼泄露給了第三方服務商，比如廣告商和分析公司，但他們的隱私政策並未明確提到這種行爲。也就是說，這些第三方服務商不僅可以直接登錄客人的訂單，看到客人的個人信息，甚至還可以替客人取消訂單。

　　訂單確認函樣板。圖自Wueest博客

　　Wueest貼出的一張訂單確認函的樣圖中，列出了大多數酒店會在訂單信息中包含的客人信息：訂單號、入住時間、姓名、電話、地址、郵箱、護照號碼等等。“在很多情況下，我發現即使客人取消了訂單，這些信息依然可見，給攻擊者竊取個人信息提供了機會”，他表示。

　　第三方服務商究竟是通過什麼途徑訪問客人訂單的？

　　Wueest提到，57%以上的酒店會在客人提交訂單後向其發送一封確認郵件，裏麪包含一個可以直通訂單的訪問鏈接，以便客人在未登錄的情況下訪問。由於郵件中要求鏈接必須爲靜態鏈接，因此預訂代碼和郵箱地址將作爲URL參數的一部分被傳輸，如https://booking.the-hotel.tld/retrieve.php?prn=1234567&[email protected]。

　　這本來也沒什麼問題，但很多酒店都會直接在該鏈接通往的網頁上加載其他內容。Wueest測試發現，平均每個訂單會生成176個請求——說明訂單信息會被廣泛地共享給多個第三方服務提供商，包括社交媒體、搜索引擎以及廣告商和分析服務。

　　他認爲，比較好的做法是先做驗證，然後在設置cookie後重定向，從而確保數據不會泄露。

　　酒店業、航空業存在訂單鏈接未加密的問題

　　雖然酒店可能跟第三方服務提供商有所約定，但從去年Facebook與劍橋分析的事件不難看出，第三方濫用平臺用戶個人信息的情況確實存在。Wueest的研究進一步指出，29%的酒店不會對確認郵件裏的鏈接加密，攻擊者完全可以藉此機會查看和修改訂單。

　　值得注意的是，這個問題並非酒店業獨有。Wandera威脅研究團隊今年2月發表的研究表明，航空業也存在同樣的問題。