河北
OneFly（一家旅游技术与航班内容公司）似乎在网络上泄露了数千条敏感客户记录，包括未编辑的支付信息。
Cybernews的安全研究人员最近发现，通过一个Elasticsearch实例，九个内部Java Spring应用程序正在实时泄露“数千条记录”。
记录包括姓名、出生日期、身份证件号码、航班号、票价、日期、目的地机场、完整信用卡信息以及JWT令牌。
如何降低风险
Cybernews 说，根本搞不清数据是啥时候生成或泄露的，但证据显示大概是2025年10月初。我们也不知道到底有多少人中招，但研究人员说发现了大约1万条身份记录和6000张支付卡，还说这个数“挺少的”。
OneFly这家公司，搞旅游技术和航班内容的，主要做全球旅游内容聚合和机票供应。它通过统一API连接航空公司、在线旅行社（OTA）和旅游技术合作伙伴，让它们能查到全球各地的机票库存，比如廉价航空的票价，还有GDS和自家定的价格。
html
它可不是一家小公司。该公司拥有50至200名员工，看样子为全球100多家航空公司及主要在线旅游平台提供服务。
除了明摆着的——利用支付数据进行欺诈性电汇——网络犯罪分子还可以通过不同方式滥用这些信息。他们可以窃取客户身份以获取某些优势，或者冒充航空公司和旅行社联系客户。
“此外，暴露的内部用户认证令牌可能被用于冒充用户（或用户身份冒用），以从内部公司系统获取更多信息，因为Elastic会定期记录有效令牌，”Cybernews解释道。
为降低风险，企业应配置访问控制规则并限制对应用程序日志的访问，完善日志记录流程，并在修复期间实施IP白名单（或类似措施）。
html
在Google News上关注我们并把我们设为优先关注的来源，以便在信息流中获取专家新闻、评测和观点。
当然，你还可以在TikTok上关注我们，看新闻、评测和开箱视频，还能通过WhatsApp收到我们的日常更新。
喜欢这篇文章？点击本页顶部的+关注按钮，在MSN上关注我们吧，获取更多类似内容。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
