OneFly（一家旅游技术与航班内容公司）似乎在网络上泄露了数千条敏感客户记录，包括未编辑的支付信息。

Cybernews的安全研究人员最近发现，通过一个Elasticsearch实例，九个内部Java Spring应用程序正在实时泄露“数千条记录”。

记录包括姓名、出生日期、身份证件号码、航班号、票价、日期、目的地机场、完整信用卡信息以及JWT令牌。

如何降低风险

如何降低风险

Cybernews 说，根本搞不清数据是啥时候生成或泄露的，但证据显示大概是2025年10月初。我们也不知道到底有多少人中招，但研究人员说发现了大约1万条身份记录和6000张支付卡，还说这个数“挺少的”。

OneFly这家公司，搞旅游技术和航班内容的，主要做全球旅游内容聚合和机票供应。它通过统一API连接航空公司、在线旅行社（OTA）和旅游技术合作伙伴，让它们能查到全球各地的机票库存，比如廉价航空的票价，还有GDS和自家定的价格。

html

它可不是一家小公司。该公司拥有50至200名员工，看样子为全球100多家航空公司及主要在线旅游平台提供服务。

除了明摆着的——利用支付数据进行欺诈性电汇——网络犯罪分子还可以通过不同方式滥用这些信息。他们可以窃取客户身份以获取某些优势，或者冒充航空公司和旅行社联系客户。

“此外，暴露的内部用户认证令牌可能被用于冒充用户（或用户身份冒用），以从内部公司系统获取更多信息，因为Elastic会定期记录有效令牌，”Cybernews解释道。

为降低风险，企业应配置访问控制规则并限制对应用程序日志的访问，完善日志记录流程，并在修复期间实施IP白名单（或类似措施）。

html

在Google News上关注我们并把我们设为优先关注的来源，以便在信息流中获取专家新闻、评测和观点。

当然，你还可以在TikTok上关注我们，看新闻、评测和开箱视频，还能通过WhatsApp收到我们的日常更新。

喜欢这篇文章？点击本页顶部的+关注按钮，在MSN上关注我们吧，获取更多类似内容。