航班机械故障的电诈，诈骗分子怎么知道乘客的相关信息（航班，身份证，手机号）

[gaojiangouyu]

诈骗手段

之前有遇到这种航空机械故障的电信诈骗，诈骗分子声称乘客搭乘的航班由于机械故障取消了，要给乘客办理退票并给予一定补偿。电诈分子知道乘客的具体航班，身份证，然后索要乘客的银行卡，声称要打款过来，接下来就会发个验证码给到乘客的手机，然后乘客如果把验证码给到电诈分子，那么银行卡里面的钱就会给取走。

疑问

这都是诈骗的老套路了，但是很多人上当了，因为电诈分子用的是 400 号码，并且知道乘客的身份证，手机号，具体的航班信息，这三者一般都只有票务公司和航空公司才知道，所以大部分乘客都信以为真。但让人感到疑惑的是为什么诈骗分子可以知道乘客的具体航班，身份证信息，这些只有航空公司和票务平台才知道，难道航空公司和票务平台把这些数据泄露给电诈分子了？如果是扒库，那么这个安全漏洞也不可能存在这么久把，这种电信诈骗都持续了很多年了，难道没有人去修复这个漏洞吗？思来想去就是这些航空公司和票务平台内部有人故意售卖这些信息给到其他第三方平台，然后电诈分子找这些第三方平台购买这些数据

[realpg]

航空公司得系统下，这些都是开放的，随便查。

[processzzp]

中航信系统了解一下

[chowhong]

不仅是航空公司和票务平台，机场和中航信也有这些信息。每家公司都有一堆人能获取到，很难查到是谁泄露的。

[imnpc]

中航信 拒绝更新和修复漏洞 很简单的权限限制故意不做

[xdzhang]

早些年中航信 eterm 没有权限等级，随便查信息，你拿个票号名字身份证 PNR 都可以查。后来加了权限但是也只能限制一部分人。

[NoOneNoBody]

都这么多年了，还问这个问题？
都这么多年了，一直只是告诫大家不要信，却从来没去查过泄漏源头……

[billccn]

有意思的事 Amadeus 订票系统也没什么权限，之前还没有 rate limit ，我在想为什么国外没有听说类似的诈骗。

是不是国内的支付环境实在太多太杂了，“原路返回”这种默认的行为很多地方还要特别标注出来，导致有空子钻。
比如如果外国航空公司给我打电话说要我的卡号，我一定会问说你们订票的时候是有我卡号的，自己去查。再者其实西方银行卡退款只需要卡号，不要其它验证信息。

[crab]

@billccn 国外一样甚至直接劫持谷歌关键字排名。

[nicolasyang]

PNR 一输数据都可来