【欧洲时报】不搞点幺蛾子就不开心的英国航空行业，这次又坐不住了，而且出事的是英国民航龙头老大，英航British Airways。
7日英航方面承认，英国时间8月21日22：58到9月5日21：45，只要在这期间买了英航飞机票的乘客，个人信息和消费用银行卡信息都被黑客盗取了！而且无论是通过网站还是手机APP购买，都没能幸免。
根据报道解释，收到黑客盗取信息影响的乘客总共约有38万人！不过BBC援引英航方面的回应补充说，被盗取的信息主要是姓名、电子邮件地址、家庭住址、付费银行卡信息，但未涉及旅行时间安排或护照信息。
另外彭博社还补充说，根据5月25日新生效的欧盟通用数据保护条例（就是前面推文里提到的GDPR），英航还有可能因此被处以天价罚款……
无论现在后果如何，单单是38万人信息被盗、持续16天后才被英航发现，仅仅这个事实就让很多人感到心惊，不得不提出这样一个问题：
16天盗取38万人信息，黑客如何做到的？
在今天“马后炮”的道歉中，英航现任首席执行官亚历克斯·克鲁兹（Alex Cruz）在BBC的今日节目中表示，这次黑客是对英航网站实施了“成熟且带有恶意的犯罪攻击”。
由于无论在第一封声明还是后续道歉中，英航措辞都极为谨慎，BBC不得不求助了来自萨里大学的网络安全专家艾伦·伍德沃德教授（Prof. Alan Woodward）。
伍德沃德分析认为，由于英航非常肯定地给出了黑客攻击的起始时间，即8月21日22：58到9月5日21：45，且表示该期间购票的乘客都可能被盗取了信息，那么“看起来很有可能这些信息在输入时候就被盗取了，有人成功在网站上嵌入了一段代码”。
看到这里肯定有小伙伴要表示怀疑了：英航这么大个企业，官网这么容易就能被黑客嵌入爬虫代码？
伍德沃德进一步解释说，黑客很有可能不是直接对英航官网动手，而是通过第三方供应商“切入”。像Skyscanner以及Expedia这样的比价网站，都是典型的第三方供应商。
具体来讲，现在包括英航在内的很多大企业都通过第三方网站进行代售工作，而这样的合作实现方式就是，第三方网站可以在实际销售方官网嵌入接口。
部分第三方供应商的网站安保系统肯定没有英航那么完善，自然就可以被黑客利用，“偷带入境”他们的恶意代码。
伍德沃德介绍说，这种攻击模式已经很常见也很成熟，业内叫做“供应链攻击”（supply chain attack）。
小伙伴们购买演唱会、音乐剧等常用的购票网站Ticketmaster，最近就遭到过类似攻击，导致大约4万用户信息泄露。
当然伍德沃德也补充说，在英航未针对被攻击前情况提供更多细节介绍的情况下，以上只是他的个人猜测。其他攻击方式理论上也是存在的：比如英航出了“内鬼”、把爬虫代码畅通无阻嵌入官网，并非没有可能。
当然无论哪种途径，伍德沃德相信盗取行为一定发生在填写信息的过程中，因为正常情况下这些网站并不会储存付款银行卡的CVV代码（背面数字最后三位，付款必须使用），所以突破口就只有填写和信息处理这两个阶段了。
至于被黑客攻击到底怎么发现的？据《独立报》披露，发现英航网站有“不正常活动”的也是第三方机构，提醒了英航之后后者才“恍然大悟”，然后报了警……
所以如果不是“好心人”出言提醒，英航还继续什么都不知道了呗……
如何判断自己是否中招？信息被盗如何应对？
前面已经提到，被盗信息包括完整的银行卡付款信息，也就是卡号、到期时间、CVV码都在其中。被不法分子拿到之后，结局很简单：他们就可以开心地用受害人的卡盗刷买买买了！
根据《独立报》和BBC News的解释，英航方面声称已经对所有受影响消费者发送了邮件，提醒他们跟所用银行卡的银行取得联系，并遵照他们的建议进行相关处理。
不过《英国电讯报》称，一名8月27日在英航官网购票的乘客在推特上爆料“至今没收到英航邮件”……
不过既然英航已经指出了受影响乘客的购票时间，精确到分钟，并且再三强调以前在官网储存过个人信息、但该期间未购票的消费者不受影响。
所以判断标准也是很简单的，只要在英国时间8月21日22：58到9月5日21：45期间买过英航票，就不要心存侥幸了。
通过上图的“查看更多 / find out more”跳转到英航专门设置的信息盗取相关页面，其中也明确指出，只要能确认自己在事发期间购买过英航机票，请务必一律尽快联系自己的银行。
另外这个页面上还补充了一句表示，如果受影响乘客发现自己的银行账户已经出现了可疑活动，也请直接联系英航。
BBC News也提醒相关消费者，近期最好是能时不时检查一下自己银行支付或转账记录，是否有并非自己操作的行为。
如果已经发现了被盗刷等情况，据《独立报》和《英国电讯报》介绍，正常情况下如果能够及时联系相关银行，那么它们按照现行规定是能够取消对应支付行为的。
注意：即使你没有收到这次英航被黑客攻击事件波及，也应牢记这一点，万一其他形式被盗刷，也应尽量及时联系银行。
除此之外，英航方面也终于补充表态，会为此次事件带来的损失负责：“每位收到影响的消费者，都能全额退款，我们还会支付对应所需的信用检查服务费用”。
最后BBC News还补充提醒了一点：发生信息盗取事件后，受影响的消费者们也应该保持对任何相关邮件、来电的警惕，因为不排除不法分子会冒充警察、银行、甚至英航工作人员的身份联系乘客，来套取更多个人信息的可能。
欧洲时报英国版微信公众号：UKZONE
（编辑：蔚酱）