航空旅游业复苏 Cymetrics调查9成业者出现帐密外泄风险
是方合作伙伴-专业资安检测品牌 Cymetrics 发布台湾航空旅游业资安曝险调查报告，针对 15 家知名航空旅游业者的外在资安曝险情形进行评级与分析。近期随着疫情趋缓，各个国家国境陆续解封，疫后旅游市场逐渐开始回温，根据《2022 年第三季度亨利全球流动性报告》指出，2022 年旅客人数应达到疫情前 83％水平，预估 2023 年市场的流量应达到或超过疫情前的水平。随着大众开始购买机票或旅行团行程，航空旅游业者所拥有的消费者个资也不容忽视，因此 Cymetrics 利用其曝险评估即服务 (Exposure Assessment as a Service，EAS)，评级并分析台湾 15 大航空旅游业者的外在资安曝险情形，以协助业者了解自身的资安状况，改善其可能存在之外在曝险，其中高达 9 成业者出现账号密码外泄漏洞，亟需业者加强资安控管，使消费者能安心购买。
专注于资安检测的Cymetrics团队，透过自身研发的非侵入式曝险评估及服务(EAS)，针对台湾15大航空旅游业者网域做检测，包括网络服务、网站、电子邮件、账号密码与云端安全面向，此次报告于发布前皆提供所提及的15家航空旅游业者参看，以使业者能重视资安风险。
其重点结果包含：
(1) 网络服务：几乎全部的航空旅游业者皆有控管对外服务，资安评级平均落在 A 以上的等级，即从外部的角度搜集不到资料，很难针对业者的对外服务进行资料搜集及攻击尝试。
(2) 网站：台湾航空旅游业者资安评级平均落在 A~ C+，也就是有外部曝险面上的弱点，可能因此成为攻击者攻击链的一环。多数业者的问题来自网站相关套件与应用的错误设定，或未更新至安全的版本等常见的弱点，将可能导致攻击者已知旧版本弱点的攻击脚本，或是透过简易的跨站攻击绕过网站的安全性验证甚至取得客户资料。
(3) 电子邮件：台湾航空旅游业者之间的落差较大，资安评级分别落在 A+~C-，有半数的业者并未妥善管理电子邮件的安全，其中多数未进行DMARC与SPF的正确设定，将可能导致攻击者透过业者的相同邮件网域，发送恶意邮件给民众与员工，他们因而可能遭受社交工程，导致数据外泄的情形发生。
(4) 账号密码：台湾航空旅游业者资安评级较为两极，主要集中于 A+ 及 C，其中9成业者已发生账号密码外泄，包含员工个人的账号以及系统，或是对外服务所使用的公用账号，同时曾发生账号密码外泄的业者中，都出现外泄多组的账号密码，将让攻击者可以精准锁定目标，执行钓鱼或直接渗透各项系统。
(5) 云端安全：台湾航空旅游业者评级分数皆为 A+ 以上。本调查并未发现航空旅游业者在其域名下有任何对外公开之云端存储器或公共链接库，然而 Cymetrics预期在数字转型驱动下，有越来越多企业会逐步采纳公有云服务，业者仍须时刻关心，在透过公有云业者协助快速扩增新服务的同时，是否安全地使用相关资源。
