熱爆娛樂 +: 約 1000 Asia Miles 帳戶遭入侵　不法分子利用外洩憑證繞過安全機制

2025年7月24日星期四

國泰航空表示，最近有約 1000 名會員的帳戶遭非法登入。初步調查顯示，不法分子利用在網上外洩的會員憑證，並透過欺詐手段利用雙重驗證流程漏洞成功登入帳戶，導致個人資料及亞洲萬里通里數被盜。

國泰航空表示，不法分子主要動機為盜取亞洲萬里通 (Asia Miles) 里數，使用部分在網上外洩的有效會員帳戶憑證登入系統。關鍵在於黑客成功利用雙重驗證流程中的漏洞，以欺詐手段繞過這道原本被視為重要安全屏障的防護機制。

雙重驗證（Two-Factor Authentication, 2FA）通常被認為是網路安全的重要防線，要求用戶在輸入密碼後，還需提供第二層驗證資訊，如短訊驗證碼或應用程式生成的動態密碼。然而此次事件顯示，即使是這種被廣泛採用的安全機制，在實施過程中仍可能存在技術漏洞。

據調查指，攻擊的起點來自網上外洩的會員帳戶憑證。這些憑證可能來自過往的資料外洩事件、網路釣魚攻擊，或其他安全漏洞。黑客收集這些憑證後，嘗試在不同平台上進行「撞庫攻擊」（Credential Stuffing），利用用戶在多個平台使用相同帳號密碼的習慣。

一旦黑客獲得有效的登入憑證，下一步便是突破雙重驗證機制。雖然國泰航空未詳細說明具體的技術漏洞，但可能涉及實施上的缺陷，如驗證碼重複使用、時間窗口過長，或系統邏輯錯誤等問題。

業界常見的雙重驗證攻擊手法包括 SIM 卡交換攻擊（SIM Swapping），黑客透過社會工程學說服電訊商將目標用戶的電話號碼轉移至黑客控制的 SIM 卡，從而截取短訊驗證碼。另一種方法是中間人攻擊（Man-in-the-Middle），透過偽造登入頁面騙取用戶輸入驗證碼。

此外，部分攻擊者可能利用應用程式或系統實施上的技術缺陷，如驗證邏輯錯誤、競態條件（Race Condition）或時序攻擊（Timing Attack）等進階技術手法繞過雙重驗證。

國泰航空表示已修正雙重驗證中出現的問題，並會進一步加強相關流程，確保同類事件不再發生。國泰已聘請外部專家進行全面獨立調查，並向個人資料私隱專員公署等相關機構報告事件。同時國泰已經為大部分受影響會員恢復帳戶，並補回失去的里數。