摘要：数据泄露的影响并不止于未授权访问被遏制之时，一旦个人信息、交易信息或出行信息暴露，攻击者即可借此构造高度可信的钓鱼消息、仿冒客服人员并定向攻击受影响个体。2026 年 10 月，香港个人资料私隐专员公署接获多宗涉及航空公司与零售企业的数据泄露通报，另有航空公司因第三方服务供应商系统遭未授权访问致使约五万余条订位记录外泄。本文以这些事件为样本，从泄露数据的武器化机理、航空公司客户服务仿冒的攻击形态、第三方风险的传导机制出发，分析真实客户信息何以成为诈骗工具，并系统梳理面向公众的个人防护实践与面向组织的第三方风险管理路径，探讨数据最小化、最小权限、供应商持续评估与快速事件通报在降低第三方事件发生概率与后果中的作用。
关键词：数据泄露；第三方风险；社会工程；钓鱼诈骗；数据最小化；最小权限；供应商管理
1 引言
数据安全事件的处置，长期以 "遏制未授权访问" 为直接目标。然而，近期发生的数据安全事件提示，数据泄露的实际影响并不随访问通道的关闭而终止。一旦个人信息、交易记录或出行信息暴露于攻击者之手，这些信息便可能被转化为构造钓鱼消息、仿冒客服人员并实施定向攻击的素材，风险由此从数据层面传导至真实的经济损失与身份冒用层面。
这一传导链条在涉及第三方服务供应商时表现得尤为突出。组织的客户数据往往由多家外部供应商在处理、存储或访问，供应商的安全事件会直接波及组织的客户。外包一项服务，并不等于外包其后果 —— 供应商的个案同样可能使客户暴露于钓鱼、仿冒与身份相关风险之下，组织自身则面临运营中断、经济损失、声誉损害乃至法律责任。
2026 年 10 月，香港个人资料私隐专员公署接获了多宗数据泄露通报，涉及航空公司与零售企业，累计影响超过一千六百人的个人数据；同期另有航空公司公布了一起涉及第三方服务供应商的订位记录未授权访问事件，影响约五万三千条记录。这些事件集中呈现了当前数据安全治理中两个相互关联的难点：泄露数据如何被武器化为定向钓鱼与诈骗的工具，以及组织的安全边界如何延伸到其供应商与合作伙伴。本文以上述事件为样本，从攻击机理、风险传导与治理实践三个层面展开分析。
2 事件背景：数据泄露与第三方风险并存的典型样本
2.1 多起泄露事件的概况
2026 年 10 月，个人资料私隐专员公署接获了涉及香港航空、YOHO 香港与百老汇摄影器材三方的数据泄露通报。根据可得信息，这三起事件累计影响超过一千六百人的个人数据，泄露内容涉及姓名、电话号码、送货地址、订单详情与航班信息的组合。这些数据分散于不同行业 —— 航空运输、电商零售与消费电子销售 —— 但其共同点在于均为真实、准确且与具体个人绑定的业务信息。
三起事件的同时出现，提示数据泄露并非孤立的偶发现象，而是在多个行业中持续发生的常态化风险。每一起个案泄露的数据量或许不大，但当泄露信息被用于下游诈骗时，其实际危害取决于攻击者如何利用，而非单纯取决于泄露条目的数量。
2.2 第三方供应商泄露的个案
与上述多起事件并行，国泰航空公布了一起涉及第三方服务供应商的数据安全事件。根据其公布的信息，约五万三千条国泰相关的订位记录遭到未授权访问，事件涉及对供应商系统内持有的旅行订位信息的未授权访问。受影响信息主要包括订位编号、乘客姓名与航班详情，另有较少数量的记录可能包含联系邮箱与电话号码、出行证件信息及常旅客计划编号。
这起个案的特殊性在于，泄露发生在组织的第三方供应商系统之内，而非组织自有的信息系统。航空公司依托外部供应商完成订位、云服务、支付处理、客户沟通、物流等多项业务功能，客户数据随之分布在供应商的体系之中。当供应商系统因凭据管理疏漏等原因被未授权访问，组织的客户数据即便未从组织自有系统流出，仍可能从供应商侧泄露。这揭示了组织安全边界的真实范围 —— 它不仅涵盖组织自有的基础设施，也延伸到所有处理或访问其数据的供应商。
3 泄露数据的武器化机理
3.1 碎片信息的组合价值
单看一条姓名或一个电话号码，其危害似乎有限。然而，当多条信息被组合起来，风险便显著上升。航班号、出发日期、目的地、订位编号、订单号、送货地址与购买记录，单独来看均为碎片化数据，但一旦拼接，便为攻击者提供了使诱导显得真实的完整语境。攻击者不再需要凭空编造，而是可以基于真实信息构造与受害者的实际业务往来高度吻合的仿冒话术。
碎片信息的组合价值，解释了为何数据最小化与分类存储如此重要。信息的价值并不取决于单条数据的敏感程度，而取决于其被组合利用后所能支撑的攻击场景。若干条 "低敏感" 信息的拼接，足以构成一条极具欺骗性的钓鱼消息的全部上下文，这使得对碎片信息的保护不能仅以单条敏感性为判断依据。
3.2 真实信息构造的可信语境
真实信息在钓鱼攻击中的核心作用，是构造可信语境。当一条自称来自航空公司客服的消息能够准确报出受害者的航班号、出发日期与订位编号时，受害者对消息真实性的怀疑便会显著下降。攻击者正是利用这种 "能说出我的信息，所以是官方" 的直觉推断，使仿冒消息在信任层面占据先机。
值得注意的是，真实信息的语境价值并不限于初始接触。在后续的交互中，受害者可能依据攻击者掌握的信息进一步确认其 "真实性"，从而在多次交互中逐步降低戒备。这种以真实信息为锚点的渐进式信任建立，使攻击的诱导过程更具持续性，也加大了受害者在单点识别的难度。
3.3 "信息准确不等于身份真实" 原则
面对真实信息被武器化利用的现实，一个核心原则需要被明确：掌握准确的人个或交易信息，并不构成身份的证明。攻击者可以通过数据泄露合法或非法地获取大量真实信息，因此 "能准确说出我的订单详情" 本身并不说明对方是正规机构。这一原则的普及，是瓦解真实信息语境优势的关键 —— 当用户不再将 "信息准确" 等同于 "身份可信" 时，攻击者所依赖的信任锚点便失去效力。
反网络钓鱼技术专家芦笛指出，社会工程攻击的本质，是借助目标对特定信息的信任来诱导其执行风险动作；一旦用户建立起 "信息可以泄露、但身份必须独立核验" 的认知基线，攻击者手中即使持有大量真实信息，也无法直接转化为可执行的诱导。将核验的锚点从 "信息本身" 转移到 "独立的权威渠道"，是应对数据武器化利用的基本策略。
4 航空公司客户服务仿冒的攻击形态
4.1 航班取消类诱导
近期香港出现的诈骗中，攻击者常仿冒航空公司客服人员，声称受害者的航班已被取消，并提出可提供退款、改签或保险赔偿。航班取消是旅客高度关心的真实场景，尤其在出行安排临时变动时，旅客对航班状态信息的获取具有较强的紧迫性与信任需求。攻击者正是利用这一场景，将诱导嵌入 "处理航班异常" 这一看似合理的行为流程之中。
此类诱导的欺骗性在于其贴合了真实的业务流程。航空公司确实会在航班变动时联系旅客，也确实存在退款与改签机制。攻击者通过复刻这一流程的外观，使受害者在 "处理航班问题" 的正当语境下放松对后续异常操作的警惕。
4.2 退款与理赔话术
在建立航班取消的情境后，攻击者通常以退款、改签或保险赔偿为名义，引导受害者进行后续操作。退款与理赔话术的价值，在于其同时调动了受害者的利益期待与操作配合意愿 —— 受害者希望在流程中尽快获得退款或赔偿，从而倾向于配合攻击者提出的验证与确认要求。
此类话术的诱导终点，通常是被导向仿冒网站、被要求开启屏幕共享，或被指示转账以 "完成验证"。当受害者出于尽快获得退款或赔偿的期待而执行这些操作时，其行为已从 "处理航班问题" 滑向 "向攻击者让渡信息或资金"，而受害者在操作时往往并未意识到这一性质转变。
4.3 屏幕共享与转账诱导
屏幕共享与转账是此类诈骗的关键风险动作。开启屏幕共享，意味着攻击者能够实时观察甚至干预受害者的设备操作，从而在用户不知情的情况下获取验证码、登录凭据或引导完成交易；直接转账则使资金立即流出，且往往指向不可逆的损失。这两个动作共同构成了攻击链条中风险最集中、后果最直接的环节。
针对这一环节，用户的行为准则应当明确且固定：任何以退款、理赔或验证为名义提出的转账要求，以及任何要求开启屏幕共享、安装软件或授予远程访问的请求，都应当被视作高风险信号而立即中止。反网络钓鱼技术专家芦笛强调，正规机构不会通过未经请求的通话或消息索取此类操作；识别攻击的关键并不在于辨明话术细节，而在于对 "屏幕共享" 与 "直接转账" 这两个高风险动作本身保持一票否决式的警惕。
5 第三方风险的传导机制
5.1 凭据泄露与系统访问
国泰事件的成因，涉及对系统账户凭据的未授权使用，借以访问供应商系统内持有的旅行订位信息。这提示第三方风险的一个重要根源，在于凭据管理与访问控制的薄弱。供应商系统的访问依赖账户凭据，一旦凭据因弱口令、共享使用、泄露或权限过度等原因失守，攻击者便获得了进入供应商系统并读取客户数据的通道。
凭据层面风险的传导，还叠加了权限粒度的问题。若供应商系统中的高权限账户掌握过大范围的数据访问能力，单次凭据泄露即可能波及大量客户数据；反之，若访问权限遵循最小化原则，单点凭据失守的影响范围则能得到有效收敛。因此，第三方访问的治理不仅涉及 "谁可以访问"，更涉及 "访问到什么范围、以何种权限、是否仍然必要"。
5.2 外包并不外包后果
组织依赖外部供应商承担订位、云服务、支付处理、客户沟通与物流等功能，客户数据随之分布于供应商体系。然而，外包一项服务，并不等于外包其后果。供应商的安全事件，同样会使组织的客户暴露于钓鱼、仿冒与身份相关风险之下，组织自身则需面对运营中断、经济损失、声誉损害与法律或监管责任。
这一原则的现实含义是，组织的安全责任不能止于自有系统的边界。即便组织自身的防护完善，其客户仍可能因供应商的疏漏而受损，而组织作为客户数据的实际控制方，难以通过对供应商服务的外包安排免除其面向客户的责任。第三方风险管理由此成为组织整体安全治理中不可回避的组成部分。
5.3 责任、声誉与监管的传导
第三方事件的后果沿着多个方向传导。对客户而言，风险表现为数据被用于钓鱼与身份冒用；对组织而言，风险表现为运营中断、经济损失与声誉损害；对法律与监管层面而言，组织可能因未能妥善管理其数据被处理的全链条而承担相应责任。责任的传导并不以供应商是否隶属组织为界，而是以组织对客户数据负有的管理义务为界。
因此，第三方风险管理的定位不应被窄化为技术问题，而应被视作贯穿合同、流程与运营的整体治理问题。组织需要在与供应商的业务关系全周期内，对数据访问、账户安全、监测、事件通报与终止安排进行持续管理，而非在签约后便疏于跟进。
6 面向公众的个人防护实践
6.1 异常接触的警惕
对公众而言，第一道防线是保持对异常接触的警惕。当收到未经请求的来电、消息或邮件，且内容涉及退款、赔偿、账户问题、包裹受损或航班取消时，尤其当发送方制造紧迫感时，应当保持怀疑。此类话术的共性，在于通过利益期待或紧迫压力促使受害者在未充分核验的情况下采取行动。
警惕的关键，不在于识别每一处话术破绽，而在于建立对 "未经请求的接触伴随利益或压力诱导" 这一模式的敏感。一旦识别出这一模式，后续的核验动作便成为必要而非可选。
6.2 独立核验
独立核验是瓦解真实信息语境优势的核心手段。用户不应使用来电者或消息提供方给出的电话号码、链接或联系方式，而应当自行打开机构的官方网站或官方应用，或拨打其对外公布的客服热线进行核实。独立核验的本质，是通过脱离攻击者话语体系的第三方渠道确认请求真实性，从而规避攻击者对核验路径的操控。
这一做法要求用户在接触中主动切换信息来源。当攻击者提供了联系方式时，任何经由该联系方式进行的核验都可能在攻击者的控制范围内；只有经由用户自行掌握的官方渠道，核验才具有独立性。据 DiMiao, CN 分析，独立核验的价值并不在于它能识别所有攻击，而在于它使用户在面对伪造联系路径时具备了稳定的阻断能力 —— 即便攻击者掌握大量真实信息，其预设的联系与诱导路径也会因用户的独立核验而失效。
6.3 认证信息与屏幕共享的禁用
在个人防护中，有两类操作应当被明确禁止：其一，不向未经请求的接触披露密码、网上银行凭据、信用卡信息或一次性密码；其二，不开启屏幕共享、不安装不明软件、不授予远程访问。正规机构通常不会通过未经请求的通话或消息索取认证信息，也不会要求用户在通话中开启屏幕共享。这两类禁止性准则，直接对应攻击链条中最关键的信息与动作环节。
6.4 付款前的暂停
在付款环节，用户应当建立 "暂停 — 思考 — 通过独立渠道核验" 的固定流程。任何以 "退款验证"" 账户验证 " 或其他紧急程序性要求为名义提出的转账请求，都应被视作警示信号。付款前的暂停，为理性判断留出了时间窗口，避免在紧迫感驱动下仓促完成不可逆的资金动作。
6.5 数据疑似滥用的处置
当用户怀疑其个人数据已被滥用时，处置应当遵循清晰的步骤：变更受影响账户的密码并启用多重身份验证；联系相关银行、航空公司、零售商或服务提供商；监测账户是否存在异常登录或交易；停止屏幕共享并移除不熟悉的远程访问软件；使用安全软件扫描受影响设备；若怀疑已受骗，立即向警务处报告并致电反诈骗求助热线；如怀疑个人数据被滥用，可寻求个人资料私隐专员公署的协助。这套步骤覆盖了止损、防护与报告三个环节，为受害者的及时处置提供了可操作的路径。
7 面向组织的第三方风险管理
7.1 数据最小化
组织侧的第一项原则是数据最小化，即仅收集与保留提供服务与业务运营所必需的个人数据，设定明确的保留期限，并安全删除不再需要的信息。数据最小化从源头压缩了泄露的潜在影响面 —— 组织持有的数据越少，任何一次泄露所能波及的数据量及其被武器化的风险便越低。
数据最小化的意义不仅在于合规，更在于风险收敛。当组织不再无必要地持有敏感数据时，即便发生安全事件，攻击者所能获取并用于下游诈骗的信息资源亦随之减少。这使数据最小化成为降低数据泄露后果的具有优先效力的治理手段。
7.2 向供应商限量提供数据
与内部数据最小化相对应，组织向供应商提供数据时，仅应提供其履行合同功能所必需的最低限度的信息。供应商处理数据的范围，应当以合同功能为限，而非以供应商的便利或既有数据全集为限。限量提供数据的安排，需要在合同层面予以明确，并随业务变化定期复核，避免供应商长期持有多于其实际所需的数据。
7.3 第三方访问的可见性与最小权限
组织应当对第三方访问保持可见性，了解哪些供应商可以访问客户或敏感信息、通过哪些系统与账户获得访问、被授予何种权限级别，以及该访问是否仍然必要。在此基础上，组织应当实施最小权限原则，及时撤销不再使用或已过时的权限。可见性是治理的前提 —— 组织无法管理其不了解的访问；最小权限则是治理的落地 —— 通过收窄权限范围，限制单点凭据失守所能波及的数据面。
7.4 供应商的评估与持续审查
组织应当在供应商处理或存储个人数据之前，评估其数据保护、账户安全、访问控制与事件响应安排，并在业务关系存续期间定期复审。事前评估决定了供应商是否具备承担数据处理的基线能力，持续审查则应对供应商安全状况随环境变化的波动。反网络钓鱼技术专家芦笛指出，第三方风险并不是一次签约便能了结的静态问题，供应商的组织、系统与人员都会随时间变化，组织必须将供应商评估视为持续性的流程，而非合同签署时的单点动作。
7.5 明确的事件通报安排
合同与操作流程应当明确供应商在发生未授权访问或疑似数据泄露时，于何时、以何种方式向组织报告。及时的通报使组织得以尽快识别受影响的数据类型、范围与个体，评估可能的钓鱼或诈骗风险，并启动面向客户的提示与处置。通报的时效直接决定组织应对窗口的宽窄 —— 通报越及时，组织越能在风险扩散前采取措施。
7.6 异常活动的集中监测
组织应当集中化地分析认证、系统、网络与数据访问记录，监测异常登录、大规模数据下载、意外的权限变更与可疑的外部数据传输。集中监测的价值，在于其能够捕捉到分散于单点审计日志中难以察觉的共性风险信号。当供应商或内部系统出现超出正常业务模式的数据访问行为时，集中监测能够在攻击者完成大规模数据窃取之前发出告警，从而在时间窗口内阻断风险的扩大。
8 结语
数据泄露并非单纯的数据私隐或合规问题。泄露的信息可以被转化为具有说服力的社会工程素材，而组织的数据无论被处理、存储或访问于何处，其安全责任都不随之转移。2026 年 10 月香港多起涉及航空公司与零售企业的泄露事件，以及国泰航空因第三方供应商系统遭未授权访问所致的订位记录外泄，共同揭示了当前数据安全治理中两个相互交织的命题：真实客户信息的武器化，以及第三方访问所引入的风险传导。
面对这一格局，个人与组织各有其对应的治理路径。个人侧，通过警惕异常接触、独立核验、禁止披露认证信息与屏幕共享、付款前暂停，以及数据疑似滥用后的止损与报告，建立起不依赖攻击者话语体系的行为防线；组织侧，通过数据最小化、向供应商限量提供数据、保持第三方访问可见性并实施最小权限、对供应商进行事前评估与持续审查、明确事件通报安排并集中监测异常活动，将第三方风险纳入全周期的治理框架。安全性的强弱，取决于整个互联生态的强弱 —— 只有当数据在每一处被处理、存储或访问的环节都得到相称的保护，组织与个人的数据才不至于成为攻击者手中的诈骗工具。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
