北京 - 2019年4月25日 – 去年，华住集团旗下酒店5亿条用户小我私家信息疑遭泄露，万豪旗下喜达屋酒店数据库遭犯警入侵致最多5亿客人信息被窃，酒店处事类网站的小我私家数据掩护已经成为全球的热门话题。近日，赛门铁克公司颁布了一个笼罩全球 54 个国家及地区的1,500 多家酒店网站的研究呈报，功效发明，酒店网站存在网页表单内容劫持(Formjacking)的危害，此中三分之二 (67％) 的网站都在无意间将顾客预订信息泄露给告白商和分析公司等级三方网站。这些酒店网站均有隐私政策，但他们都没有在此中明确提到此类行为。
在行业内，告白商追踪用户浏览陈迹、了解用户的浏览习惯已不是奥秘。但信息大范畴共享会使得第三方能够登录顾客预订窗口，检察他们详细的小我私家信息，甚至故意打消其预订。《通用数据掩护条例》(GDPR) 已经在欧洲施行了近一年之久，中国也在2017年6月推出了《网络安适法》，旨在监管网络安适、掩护小我私家隐私和敏感信息，以及维护国家网络空间主权和安适。然而直至今日，仍有许多酒店迟迟不愿认可与面对，更没有及时采纳应对法子去解决相关问题。
赛门铁克公司的研究员们随机选择了一些旅游景点，并检索了位于这些所在的差别级另外热门酒店。从村子二星级普通酒店到豪华五星级海边度假村等等，一些大型知名连锁酒店的旗下品牌也被纳入测试领域，这意味着赛门铁克公司的查询拜访功效根基上可以反应业内遍及情况。此中部分网站的预订系统在隐私掩护方面表示良好，只简单显示了根本数据和勾留日期，并未透露任何小我私家信息。但绝大大都网站都泄露了如下小我私家数据：
·姓名
·电子邮件地点
·邮寄地点
·手机号码
·信用卡后四位数字、卡类型和有效日期
·护照号
图 1.预订信息样本 - 显示可能会泄露的顾客预订数据类型
数据泄露的原因
在赛门铁克公司研究员评测的酒店中，赶过一半 (57％) 的酒店会向顾客发送电子邮件确认预订信息，并在邮件*给可以直接访谒预订信息的链接。其本意是为了便利顾客，让顾客无需登录即可进入预订窗口。 然而，这些预定信息在通过电子邮件发送的同时，由于很多第三方会在同一网站上加载告白，会导致直接访谒权会被共享给其他资源，或者被间接共享。赛门铁克的测试表白，每次预订平均会生成 176 个请求，虽然并非所有请求都包罗详细的预订信息，但这一数字表白预订数据会被大范畴共享。
图 2.测试示例 – 小我私家信息可通过 HTTP 请求中的 referrer 字段被间接共享
研究测试发明，顾客如果使用电子邮件中收到的链接直接自动登录到预定窗口，在此过程中加载的页面可能会挪用许多长途资源，而这些外部东西发出的Web请求会直接将完整URL作为参数发送。在这次测试中，酒店预定码被30多个差此外处事提供商共享，包孕一些知名社交网络、搜索引擎以及告白和分析处事提供商。在这种情况下，第三方处事可以登录预订窗口，检察详细的小我私家信息，甚至打消顾客的预订。值得强调的是，呈现这种问题并非处事提供商的责任。
别的，对付预订数据的泄露，还有其他潜在的原因。有些数据泄露产生在预订过程中，有些则产生在顾客手动登录网站时。一些网站为了安适起见会生成一个令牌，然后通过 URL 而非安适证书进行传送，但是这种做法也不值得倡导。 而且，在大都情况下即使顾客的酒店预订已经被打消，预订数据仍然可见，这便为打击者窃取小我私家信息供给了绝佳的机会。
值得一提的是，一些配置良好的网站会先识别安适凭证，然后在设置 cookie 后从头定向，以确保数据不会泄露。
未加密的链接
研究发明，有赶过四分之一 (29％) 的酒店网站没有对电子邮件（包罗 ID）中的初始链接加密，这一点令人担心。一旦顾客点击电子邮件中的 HTTP 链接，打击者便会在这一进程中拦截顾客凭证，从而到达检察或改削其预订信息的目的。这一情形很可能产生在机场或酒店等使用大众热点的场所，除非用户主动使用 VPN 软件来掩护链接。甚至有个别预订系统在其链接从HTTP重定向到 HTTPS 之前，就已经在预订过程中将数据泄露给了处事器。
这一问题并非只呈此刻酒店业，网站通过 URL 参数或 referrer 字段不测泄露敏感信息的现象层见迭出。近几年来，很多航空公司、度假景点和其他行业网站都呈现过类似问题。2019 年 2 月，赛门铁克的研究人员便发明多家航空公司处事提供商在使用未加密链接时呈现了类似的问题。
潜在危害
比来赛门铁克旗下公司诺顿 LifeLock颁布的《2018年诺顿LifeLock网络安适查询拜访呈报》显示，85%的中国人比以往越发警惕隐私安适——这一数字在全球参预查询拜访的16个国家和地区中占居前列。然而，大大都人依旧愿意承当必然隐私泄露的危害以追求便当(62％)。
许多人都喜欢在社交媒体上颁布照片，与大家分享他们在旅行中的点滴回忆。有些人甚至会直接分享他们的票务信息。但当他们达到酒店时却发明预定被打消，才会了解本身的一时大意可能会造成什么样的后果。虽然打击者这么做可能是出于取乐或反扑的心态，但也不排除勒索敲诈或者竞争对手暗箱操纵的可能，这也会对酒店的声誉造成影响。
对酒店业而言，配置不当的云存储桶也经常导致数据泄露。这些信息随后便可能在暗盘上被兜售或用于身份欺诈。收集的数据越全面，其价值就越高。 别的，方针性打击团伙也可能对商务人士和当局职员的行程进行打击。众所周知，DarkHotel / Armyworm、OceanLotus / Destroyer，Swallowtail 和 WhiteFly 等 APT 组织已经对酒店业孕育产生了恶劣影响。这些团伙对准酒店业的原因有很多，好比监视方针、跟踪行程和探查随行人员，或者为了了解某一用户在某一所在勾留的时长，甚至实地侵入方针的位置等。
解决问题
无论是欧盟的GDPR还是我国的《网络安适法》，都对对小我私家数据的掩护作出了强调。然而赛门铁克公司对存在这一问题的酒店业进行的查询拜访功效显示实际情况并不乐不雅观。就此查询拜访功效，赛门铁克也联系了相关的酒店数据隐私官(DPO)，一些DPO认为这些数据并非“小我私家数据”，必需要按照隐私政策与告白公司共享；一些则认可他们仍在升级系统，直至完全切合GDPR标准。
处事预订网站应统一使用加密链接 (HTTPS)，并确保任何凭证都不会以 URL 参数的形式泄露，即使适用隐私条例允许也不例外（尤其是在欧洲），例如使用 cookie。顾客可以查抄链接是否已加密，或者小我私家数据（如电子邮件地点）是否作为 URL 中的可见数据进行通报。他们还可以使用 VPN 处事来最大限度地降低使用大众热点而带来的信息泄露危害。遗憾的是，对付普通的酒店顾客来说，察觉信息泄露并非易事，而如果他们要预订特定的酒店，选择的余地也就变的非常有限。到目前为止，GDPR 违规、投诉和数据泄露事件已经呈报赶过 20 万起，用户小我私家数据仍然面临着危害。