香港迪士尼的官网票务页面，现在还挂着一行字：系统维护中，购买门票及预订酒店服务暂停。
这不是例行升级。11月12日晚上，乐园资讯科技部在系统里发现了不对劲的东西：大约1.7万个电子门票二维码，在网上票务系统中被人偷走了。园方当晚就停了网上售票，第二天报警。警方接报后，案件暂列“有犯罪或不诚实意图而取用电脑”，交给大屿山警区重案组跟进，暂未有人被捕。
一个主题乐园的门票数据失窃，要到重案组来查，这件事本身就已经把性质说清楚了。
1.7万个二维码是什么概念
不是1.7万张“还没卖出去的票”躺在仓库里被搬走。是已经存在于票务系统中的、对应着具体入园资格的电子凭证，被人用某种方式批量拿走了。
据now新闻了解，香港迪士尼的门票网上售卖由Cityline负责，园方IT部门侦测到异常后，才发现这批二维码已经在系统中被窃取。换句话说，问题不一定出在迪士尼自己的服务器上，但流出去的凭证是实打实能用的。
重案组介入、案件归类为“不诚实使用电脑”，这个罪名在香港《刑事罪行条例》第161条下，一经定罪最高可判监禁五年。警方目前还没有抓人，但案子的分量已经摆在那里了。
“针对的不是你，是系统”
香港资讯科技商会荣誉会长方保侨给了一个很关键的技术判断。
他说，这次事件反映的是票务系统在二维码的生成、储存及验证机制上可能存在漏洞，攻击者得以通过自动化工具，大量撷取存放在第三方票务平台上的有效票务凭证。他强调，这类攻击一般并非针对个别宾客，而是针对系统自动化防护的不足。
翻译一下：不是有人盯上了某一位游客的票，而是有人发现这个系统可以用机器“批量捞”，然后真的去捞了。1.7万这个数字，不是一笔一笔骗出来的，是一次性的、系统级别的失窃。
方保侨还补了一句更让人不安的话。他在另一次采访里提到，现在黑客用AI来找漏洞、发起攻击，速度已经不是人手能挡的了，“近期这么多事件，我们相信只会愈来愈多”。
迪士尼做了什么，没做什么
园方公开的动作有几件：封锁所有受影响的二维码，停止网上售票和酒店预订，加强宾客入场时的门票核实程序，向警方、旅游事务署及个人资料私隐专员公署通报。
“封锁受影响二维码”这句话，意味着这1.7万个凭证在系统层面已经作废了。但问题在于，如果这些二维码在封锁之前已经被人转卖、或者被人存了下来，买家在入场那一刻才会发现票用不了。方保侨的建议很直接：全面加强闸口核实，防止已外泄的二维码被重复使用；彻查系统日志，确认受影响的准确范围以及有没有个人资料跟着流出去。
私隐专员公署已经表态会主动联络园方，审视是否涉及个人资料外泄风险。目前还没有确认游客的个人信息是否跟着二维码一起出去了，但这件事本身还在查。
1.7万不是孤零零的数字
把时间轴拉宽一点看，香港今年关于门票的骗案和盗窃，本来就已经在一个不太好看的位置上。
警方公布的数据是：仅今年7月，就接获超过800宗门票相关骗案，涉款逾400万元，门票骗案占了当月网购骗案的三成以上，演唱会、主题公园、机票属于高危票类。其中一个具体案例是，一名44岁男子在Facebook看到有人放售两张迪士尼门票、索价400元，转账后收到二维码，三天后对方删号失联，官网核实二维码无效。
那还只是“骗”。现在这1.7万个二维码被盗，性质比零散的网上骗案又进了一层：流出去的不是假码，是从系统里被批量取走的、曾经有效的码。骗子手里有没有货、货能不能用，和以前不一样了。
热门跟贴