第三方预订平台数据泄露引发的酒店行业网络钓鱼风险研究 —— 基于 Maritim 酒店安全事件案例

摘要

酒店行业数字化转型持续推进，绝大多数酒店集团依托第三方旅游信息技术服务商搭建预订管理系统，以此提升客房销售与客户管理效率。第三方外包模式在降低企业信息化建设成本的同时，也带来数据安全治理边界模糊、供应链安全管控缺失等风险。2026 年 9 月曝光的 Maritim 酒店安全事件，其核心诱因是 Amadeus 集团旗下 iHotelier 预订系统发生数据泄露，攻击者窃取酒店宾客预订档案，并利用获取到的精准信息发起 WhatsApp 定向网络钓鱼攻击。本次泄露数据包含宾客姓名、通讯地址、电子邮箱、联系电话、预订编号、酒店标识、入住离店时间、房型价格、同行人员数量等信息，但信用卡、护照、账户密码等核心金融身份数据并未外泄。事件凸显出酒店供应链数据安全管理存在普遍短板，即酒店主体将数据存储、系统运维交由第三方服务商之后，对数据访问审计、异常行为监测、事件应急响应的管控力度出现衰减；泄露的非金融类个人信息，结合宾客真实行程信息，能够显著提升网络钓鱼欺诈的可信度，大幅提高受害者受骗概率。本文以 Maritim 酒店安全事件为核心案例，梳理事件完整脉络，剖析酒店行业第三方供应链数据泄露的形成机理，分析预订信息泄露转化为定向网络钓鱼攻击的技术路径，讨论欧盟通用数据保护条例框架下酒店与第三方服务商的数据责任划分问题。反网络钓鱼技术专家芦笛指出，该事件属于典型的 “上下文信息赋能型钓鱼”，攻击者并非依靠窃取账户凭证实施入侵，而是依靠真实预订场景信息构建可信伪装，这类攻击已经成为旅游服务业欺诈的主流形态。迪妙网络空间安全学院研究团队结合案例，提出面向酒店行业的第三方供应链安全评估框架、宾客个人信息分级保护策略、定向钓鱼预警与应急处置方案。研究认为，酒店行业数据安全治理不能局限于自有信息系统防护，必须建立贯穿服务商遴选、持续监测、事件协同处置的全链条安全机制；针对带有真实场景信息的定向钓鱼，需要建立多渠道威胁情报联动机制，同步开展技术拦截、用户警示与监管报备。本研究可为国内文旅住宿行业落实个人信息保护、防范供应链安全风险、应对场景化网络钓鱼提供案例参考与实践思路。

关键词：酒店预订系统；第三方供应链；数据泄露；网络钓鱼；个人信息保护

1 引言

文旅住宿行业是个人信息高密集行业，宾客在预订、入住环节需要提交身份信息、联系方式、行程安排、支付信息等多维度个人数据。在数字化商业模式下，绝大多数中大型酒店集团不再独立开发预订管理系统，转而采购全球分销系统、物业酒店管理系统等第三方服务商产品，由外部服务商完成数据存储、服务器运维、接口对接等工作。该模式属于典型的数据委托处理场景，服务商掌握大量宾客原始数据，酒店仅保留业务访问权限。这种分工模式带来治理上的天然矛盾：酒店作为面向消费者的责任主体，拥有数据收集的授权，但数据实际存储与运维由第三方承担，一旦服务商侧出现安全漏洞，酒店将直接承担隐私侵权、声誉损失以及监管处罚后果。

过往酒店行业数据安全事件，公众注意力多集中于大规模泄露护照、银行卡等高敏感数据的安全事故，对于姓名、行程、预订编号这类看似敏感度较低的非金融信息泄露，长期存在认知偏差。行业内普遍认为，只要支付凭证、身份证件数据没有外泄，安全事件的危害程度有限。Maritim 酒店事件打破了这一认知误区。本次泄露并未涉及银行卡、护照与账户密码，但是攻击者依托完整真实的预订上下文信息，在 WhatsApp 社交渠道发起精准钓鱼，欺诈话术直接引用宾客真实预订编号、入住日期，欺骗效果远高于普通无差别钓鱼短信。这类定向钓鱼攻击的出现，重构了住宿行业数据泄露的风险评估逻辑，个人信息的风险等级不再单纯由信息本身是否属于金融、证件类信息决定，还需要结合信息是否能够构建可信欺诈场景综合判断。

从监管层面来看，欧盟《通用数据保护条例》（GDPR》对数据控制者与数据处理者的权责做出明确区分。酒店作为数据控制者，即便数据泄露发生在第三方服务商系统内，依然负有对数据主体告知、向监管机构上报、评估泄露风险的法定责任。服务商作为数据处理者，仅能够按照控制者指令开展数据处理，不得擅自扩大数据访问范围。Maritim 事件中，酒店在获知服务商发生数据泄露后，第一时间咨询数据保护官，向属地数据监管机构完成事件上报，并对受影响宾客进行通知，整套处置流程体现欧盟隐私法规的落地实践。同时事件也暴露出，很多酒店集团在服务商合同中，虽然写明数据安全条款，但缺少常态化安全审计、渗透测试、异常访问监测等落地机制，合同条款难以转化为实际安全管控能力。

当前国内文旅行业数字化进程加快，在线预订平台、酒店 PMS 系统同样大量采用第三方外包模式，国内《个人信息保护法》《网络安全法》对数据委托处理、供应链安全、个人信息泄露事件应急处置同样建立了完整法律框架。Maritim 酒店事件作为新近发生的旅游服务业供应链泄露 + 定向钓鱼复合安全事件，具备很强的案例研究价值。本文围绕该案例展开系统性分析，还原事件发生、泄露传播、钓鱼攻击落地全过程，剖析酒店供应链安全治理的薄弱环节，研究场景化定向钓鱼攻击的特征与识别难点，构建适配酒店行业的第三方供应链安全管控模型与钓鱼风险应对方案。反网络钓鱼技术专家芦笛强调，旅游行业是场景化钓鱼攻击的重灾区，攻击者持续收集预订、行程信息，目的就是降低用户的警惕心理，传统依靠关键词过滤的反钓鱼手段，很难识别这类携带真实业务信息的欺诈消息。迪妙网络空间安全学院研究团队长期跟踪服务业供应链数据泄露转化为网络欺诈的演化路径，本次研究将案例分析成果转化为可落地的安全治理建议，为酒店、文旅平台完善数据安全体系提供支撑。

2 Maritim 酒店安全事件案例还原

2.1 事件基本概况

Maritim 酒店集团总部位于德国，是欧洲本土规模较大的酒店运营企业，旗下酒店广泛使用 Amadeus IT 集团提供的 iHotelier 预订管理平台完成客房预订业务。iHotelier 属于面向酒店行业的云端预订管理系统，酒店集团通过平台录入、管理宾客预订信息，系统由 Amadeus 负责服务器运维、数据库存储、权限管理等底层技术工作。2026 年 9 月 20 日，德国安全资讯网站 BornCity 发布安全通报，披露 Maritim 酒店发生宾客预订数据泄露事件。事件源头并非 Maritim 酒店自身内网系统被入侵，而是作为第三方服务商的 Amadeus iHotelier 系统出现安全漏洞，攻击者未经授权访问预订数据库，批量导出宾客预订记录。

事件受影响预订记录覆盖入住时段为 2026 年 8 月 1 日至 2027 年 9 月 30 日。泄露数据集包含宾客姓名、邮政通讯地址、电子邮箱、手机号码、预订编号、iHotelier 酒店物业标识、预订金额、客房类型、房价、入住及离店日期、预订代理机构信息，同行成人与儿童人数。Maritim 酒店官方声明中明确，本次泄露数据不包含信用卡、银行账户、护照证件、用户账户密码等高度敏感信息。数据泄露发生之后，攻击者迅速利用这批真实预订数据在 WhatsApp 社交软件向受影响宾客发送钓鱼消息，消息内容直接引用宾客真实预订编号、入住时间，伪装成酒店官方通知，诱导接收者点击恶意链接，尝试骗取银行卡支付信息。

Maritim 酒店在服务商通报安全事件之后，第一时间与企业数据保护官开展评估，按照 GDPR 相关规定向属地数据保护监管机构提交安全事件报告，同步启动受影响宾客通知工作，告知宾客数据泄露情况，提醒用户警惕以酒店名义发送的 WhatsApp 钓鱼消息，不要点击陌生链接，拒绝在非官方渠道提交银行卡信息。服务商 Amadeus 在发现入侵行为之后，紧急对受影响系统实施隔离加固，阻断攻击者持续访问数据库的通道，完成漏洞修复。

2.2 事件风险传导链条

本次安全事件完整风险传导链路分为四个阶段。第一阶段：第三方服务商 iHotelier 系统出现安全缺陷，攻击者获取数据库访问权限，批量抓取宾客预订信息，完成数据窃取；第二阶段：泄露数据集脱离受保护业务环境，流入攻击者控制的存储环境；第三阶段：攻击者对数据集进行清洗整理，提取姓名、预订编号、入住时间等可用于构建欺诈场景的字段，制作定向钓鱼消息模板；第四阶段：攻击者在 WhatsApp 渠道批量推送钓鱼信息，利用真实预订信息降低用户戒备，诱导受害者访问恶意站点，尝试窃取金融支付信息。

整个风险链条的核心特征，是低敏感信息泄露向高危害网络欺诈转化。单独看姓名、入住时间、预订编号这类信息，若脱离预订场景，信息本身造成的直接损害有限。但是将多条字段组合在一起，就形成完整可信的业务上下文。普通用户收到短信或者社交消息，如果消息能够准确说出自己的预订编号、入住酒店和入住日期，主观上更容易相信消息来自酒店官方，信任阈值显著下降。这也是本次事件最值得关注的风险点：数据泄露危害评估不能只看是否泄露银行卡、证件，必须评估信息组合之后，是否可以支撑社会工程学与网络钓鱼攻击。

2.3 事件责任边界梳理

依据 GDPR 的数据控制者与数据处理者二分框架，Maritim 酒店属于数据控制者，决定收集哪些宾客信息、信息用于预订管理的业务目的；Amadeus 作为服务商，属于数据处理者，仅按照酒店指令完成数据存储、系统运维，无权自主使用宾客预订数据。当数据处理者侧发生安全事件，数据控制者依然承担面向数据主体的告知义务、向监管机构报告义务。服务商需要向酒店及时通报安全事件，配合开展事件溯源、漏洞修复，承担合同约定的安全责任。

本次事件的处置流程，体现 GDPR 对于供应链数据安全事件的处置要求。酒店在收到服务商安全告警后，不能简单将责任推给外包服务商，必须独立评估泄露对宾客造成的隐私风险，判断是否需要通知用户与监管机构。同时酒店需要核查服务商日常安全管控措施是否符合合同约定，评估服务商安全能力短板。现实中很多酒店企业在采购第三方预订系统时，对服务商的安全能力审查流于形式，仅在合同文本中写入安全条款，缺少持续安全审计机制，当服务商侧发生入侵，酒店无法提前发现风险。

3 酒店行业第三方预订系统供应链安全风险机理

3.1 数据委托处理带来安全权责割裂

酒店行业大量采用 SaaS 化预订系统，数据物理存储在服务商云端服务器，酒店业务人员仅通过网页接口访问预订数据。这种模式下，数据控制权与数据物理保管权相互分离。酒店拥有业务层面的数据控制权，但是无法直接掌控服务器底层安全配置、数据库访问日志、运维人员权限。服务商掌握底层系统运维权限，但服务商团队并不直接面向宾客承担消费者隐私承诺。权责割裂带来两个突出问题：一是酒店很难实时掌握服务商侧数据访问行为，无法及时发现异常批量下载数据库的行为；二是出现安全事件之后，责任认定、取证溯源工作复杂度大幅提升。

很多酒店在采购服务商产品阶段，安全评估重点关注产品功能是否满足预订、客房管理需求，对服务商的漏洞管理流程、权限管控机制、威胁监测能力、事件响应预案评估不足。合同签署完成之后，酒店对服务商安全状态的监督基本处于停滞状态，只有在年度合同评审时才会简单复核。服务商内部人员权限变动、系统版本更新、第三方子外包合作等变化，酒店无法及时获知，安全风险在供应链链路中持续累积。部分服务商还会将业务再次分包给其他运维厂商，形成多层级数据处理链条，进一步放大安全管控难度。

3.2 预订数据字段组合后的社会工程学风险

酒店预订信息属于多字段结构化数据，单一字段风险有限，多字段组合之后社会工程攻击价值显著提升。宾客姓名 + 手机号 + 预订编号 + 入住时间，这套信息组合可以完整还原宾客本次出行安排。攻击者拿到这套信息之后，可以精准伪造酒店通知、预订确认、订单变更、押金核验等各类业务场景。对比无差别群发钓鱼，定向场景钓鱼的欺诈成功率存在数量级差异。

反网络钓鱼技术专家芦笛指出，旅游住宿场景是社会工程学攻击的沃土，出行用户本身处于异地状态，对酒店订单变更、入住核验这类信息心理接受度更高。攻击者利用预订信息制作钓鱼消息，本质是利用真实业务上下文完成身份伪装。传统反钓鱼技术，大多依靠恶意域名、恶意文件哈希、关键词黑名单识别攻击，攻击者使用一次性临时域名，消息文本内容引用真实业务信息，不会携带明显恶意关键词，使得传统检测手段失效。这也是这类定向钓鱼难以拦截的核心原因。

3.3 服务商侧安全能力不均衡，漏洞发现滞后

全球酒店分销系统、PMS 物业系统市场集中度较高，少数几家服务商为大量酒店集团提供预订服务。一旦服务商平台出现安全漏洞，安全事件影响范围会覆盖所有使用该平台的酒店，形成 “单点突破，多点受害” 的供应链级安全事故。服务商的安全能力水平直接决定下游所有酒店宾客数据安全。部分服务商面向中小酒店提供低价 SaaS 服务，为压缩运营成本，在日志留存、入侵检测、漏洞扫描、权限最小化配置方面投入不足。数据库账户权限过大，运维账号缺少多因素认证，批量数据导出操作缺少告警，攻击者入侵之后可以一次性导出全量预订记录，且长时间不被发现。

迪妙网络空间安全学院研究团队在供应链安全调研中发现，文旅类 SaaS 服务商普遍存在访问审计能力不足的问题。数据库大批量导出操作，是数据泄露事件最典型行为特征，但是很多服务商系统对于大规模数据拉取行为，没有设置自动告警机制。只有当系统明显宕机、业务报错，运维人员才会察觉异常，此时攻击者已经完成数据窃取。Maritim 事件中，攻击者批量导出预订记录的行为，在相当一段时间内没有被安全监测系统捕获，直到服务商内部安全团队发现入侵痕迹，事件才得以曝光。

3.4 事件应急协同机制缺失

当安全事件发生在第三方服务商侧，应急处置需要服务商、酒店、监管机构三方协同。现实场景下协同往往存在延迟。服务商首先发现入侵，需要内部核实事件范围、泄露数据种类、受影响客户清单，之后再通知酒店；酒店收到告警之后，需要评估风险、咨询数据保护官、准备宾客通知文稿，再向监管机构上报并通知用户。链条上任何一个环节出现延误，都会给攻击者留出更长时间利用泄露数据开展钓鱼欺诈。

部分酒店和服务商在签署合作协议时，没有约定安全事件通报时限、数据泄露取证材料交付标准、应急对接人机制。发生安全事件之后，双方沟通渠道不固定，信息传递碎片化，酒店无法快速拿到完整泄露范围清单，无法精准通知受影响宾客，宾客会持续收到钓鱼消息，扩大事件造成的损失。

4 预订数据泄露衍生定向网络钓鱼攻击技术路径与识别难点

4.1 定向钓鱼攻击完整实施路径

攻击者获取预订数据集之后，攻击实施分为数据预处理、消息模板构建、渠道投放、欺诈站点搭建四个环节。第一阶段数据预处理，攻击者筛选有效联系方式，剔除无效邮箱、手机号，按照入住时间对用户进行分组，优先选择临近入住日期的宾客作为攻击目标。临近出行的宾客对订单变动消息关注度更高，受骗概率更大。第二阶段构建欺诈话术模板，将预订编号、酒店名称、入住离店时间等字段嵌入消息模板，伪装成酒店通知，告知用户预订信息存在异常，需要点击链接完成身份核验或者支付押金。第三阶段渠道投放，本次事件攻击者选择 WhatsApp 社交消息渠道。社交消息相比电子邮件，普通人警惕程度更低，消息送达率更高。第四阶段搭建仿冒站点，恶意链接指向仿冒酒店官方页面，页面表单收集银行卡号、有效期、安全码等支付信息，用户提交信息之后，数据直接回传至攻击者。

整个攻击流程不需要攻破酒店或者服务商支付系统，攻击者核心资产就是窃取到的预订档案。攻击模式属于典型的数据驱动型社会工程钓鱼。攻击者不需要掌握复杂系统漏洞利用技术，只需要依托真实业务上下文完成身份伪装。这类攻击门槛持续降低，已经成为旅游服务业数据泄露之后最常见的衍生攻击手段。

4.2 定向钓鱼攻击识别难点

第一，消息文本无明显恶意特征。普通钓鱼消息充斥着虚假诱导话术、拼写错误，域名地址杂乱无章。而场景化定向钓鱼消息引用真实预订编号，内容贴合宾客真实行程，文字表述风格模仿酒店官方通知，单纯依靠文本内容很难区分真伪。

第二，恶意基础设施生命周期短。攻击者采用一次性域名、临时服务器，批量发送钓鱼消息之后，短时间内关闭站点。当安全厂商捕获样本完成域名标记，欺诈站点已经下线，黑名单机制难以发挥作用。

第三，攻击渠道分散化。攻击者不再局限电子邮件钓鱼，大量使用 WhatsApp、短信、社交平台私信等多渠道推送消息。不同渠道分属不同服务商，很难统一开展流量侧检测拦截。

第四，受害者认知盲区。普通宾客缺少安全知识，认为能够准确说出自己预订信息的消息来源可信。反网络钓鱼技术专家芦笛指出，用户判断消息真伪的习惯，是核对消息里提到的个人信息是否与自身情况匹配，而不是核验消息发送方身份是否真实。攻击者正是利用普通人这种身份校验习惯实施欺诈。用户看到消息内预订信息正确，就默认发送方是酒店，忽略消息链接跳转站点并非酒店官方域名。

4.3 攻击危害评估维度

针对这类由预订信息泄露衍生的定向钓鱼攻击，危害评估不能局限于已经发生的欺诈案件数量，需要从三个维度综合评估。第一维度是直接财产损失：受害者点击链接提交支付信息之后，银行卡被盗刷造成资金损失。第二维度是次生身份风险：用户提交的个人信息会被攻击者再次打包，在黑产市场流转，用于后续更多社会工程攻击。第三维度是企业声誉与合规损失：酒店需要承担用户投诉、监管调查、品牌声誉受损等后果。即便酒店本身系统没有被攻破，只是第三方服务商发生泄露，消费者依然会将安全责任归于酒店。

5 酒店行业第三方供应链数据安全治理体系构建

5.1 服务商全生命周期安全管控机制

酒店需要建立服务商遴选、签约、持续监测、退出全流程安全管控机制，不能将安全评估简化为一次性合同审核。在服务商遴选阶段，需要开展独立安全评估，核查服务商漏洞管理体系、权限管控、日志留存、入侵监测、事件响应能力，索取过往安全事件历史记录，必要时委托第三方安全机构开展渗透测试。对于 SaaS 预订系统服务商，重点核查数据存储位置、数据隔离机制、运维人员访问权限、批量数据导出管控策略。

合同签署环节，在数据处理协议中明确事件上报时限、泄露取证交付要求、服务商安全审计配合义务。约定服务商发生任何可能涉及酒店宾客数据泄露的安全事件，必须在固定时限内向酒店安全负责人通报，提供泄露数据字段清单、受影响用户范围。同时约定酒店拥有定期对服务商开展安全审计的权利，服务商需要配合提供访问日志、安全整改材料。

服务商持续合作阶段，建立年度安全复核机制，定期收集服务商安全报告，持续跟踪漏洞修复情况。重点关注服务商是否新增分包商，一旦服务商将数据处理工作分包，酒店需要评估分包商安全能力，未经许可不得随意分包。服务商终止合作时，明确要求服务商删除全部酒店宾客数据，提供数据销毁证明，禁止服务商继续留存预订档案。

5.2 宾客个人信息分级分类保护策略

酒店应当对预订系统内存储宾客信息实施分级分类管理，按照信息泄露之后可能造成的危害程度划分安全等级。第一级为高敏感信息，银行卡、护照、身份证件信息，原则上不在预订系统长期存储，采用支付网关中转，酒店与服务商数据库不保存完整支付卡片信息。第二级为中等敏感信息，姓名、联系方式、预订编号、行程信息，也就是 Maritim 事件泄露的这类数据。该类数据虽然不属于金融证件数据，但组合之后可支撑定向钓鱼攻击，需要限制批量导出权限，所有大规模数据下载操作强制多因素认证并留存完整审计日志。第三级低敏感信息，房型偏好这类无法单独用于欺诈的统计信息。

针对中等敏感预订信息，数据库层面实施访问最小权限原则。普通客服账号只能查看单条预订记录，不具备批量查询、批量导出全库数据权限。只有经过审批的少数运维账号才能够执行批量导出，所有批量导出操作触发告警，自动记录操作账号、IP 地址、导出时间、导出数据量。迪妙网络空间安全学院研究团队提出，酒店在和服务商技术对接时，应当在合同中要求服务商开启数据脱敏能力，面向酒店普通业务人员展示信息时，对手机号、邮箱做部分掩码处理，减少内部人员泄露风险。

5.3 定向网络钓鱼预警与用户风险教育体系

单纯依靠技术拦截无法完全遏制场景化定向钓鱼攻击，必须配套建立威胁情报预警与宾客安全教育机制。酒店需要和网络安全威胁情报机构建立联动，持续监测黑产论坛、社交渠道是否出现针对本酒店宾客的钓鱼消息。一旦发现利用预订信息制作的钓鱼模板，第一时间启动预警，通过酒店官方 APP、邮件、短信推送安全提示，告知宾客酒店不会通过社交消息发送外部链接，要求用户核验域名，不要在非官方页面提交支付信息。

宾客安全教育不能只在安全事件爆发之后临时推送。应当在预订成功、入住确认等关键节点，常态化告知宾客酒店官方沟通渠道，明确酒店不会通过 WhatsApp、陌生短信发送外部链接，要求用户收到订单异常消息，不要直接点击链接，主动登录酒店官方网站或者官方 APP 核验订单状态，或者拨打酒店官方客服电话核实。反网络钓鱼技术专家芦笛强调，用户安全意识教育核心，是改变用户的身份校验逻辑，引导用户不依靠消息内个人信息判断消息真假，而是独立通过官方渠道核验业务信息。

5.4 多方协同应急响应预案

酒店需要联合第三方服务商共同编制供应链数据泄露应急处置预案，明确双方应急对接人员、事件分级标准、信息上报流程、宾客通知模板。预案需要针对服务商侧发生数据泄露场景单独设计处置流程，区分不同泄露数据类型，制定差异化风险评估方案。一旦发生泄露事件，第一步服务商隔离受影响系统，阻断攻击者访问通道，开展溯源取证；第二步双方联合确认泄露数据字段清单、受影响宾客范围；第三步评估隐私风险，判断是否需要向监管机构上报、通知受影响用户；第四步发布安全预警，防范攻击者利用泄露数据开展钓鱼；第五步开展事后复盘，评估服务商安全短板，落实安全整改。

预案需要定期组织桌面推演，模拟服务商数据库泄露，攻击者随即发起社交渠道定向钓鱼场景，检验服务商、酒店内部安全、公关、客服团队协同能力。通过推演发现信息传递延迟、通知模板不完善、客服人员无法解答宾客安全疑问等问题，持续优化应急流程。

6 案例带来的行业启示与讨论

Maritim 酒店安全事件并非孤立个案，而是全球文旅住宿行业数字化供应链风险的典型缩影。随着越来越多酒店集团把预订系统、客户管理系统外包给第三方服务商，安全风险随之转移至供应链上游。很多酒店管理者存在认知误区，认为将系统外包，数据安全责任就一并转移给服务商。Maritim 事件以及 GDPR 的监管实践清晰表明，酒店作为数据控制者，最终对宾客个人信息安全承担主体责任，外包服务商只是数据处理者，外包不能免除酒店的数据安全法律义务。

事件同样修正了个人信息泄露风险评估思路。过往行业评估更多聚焦证件、支付这类高敏感信息。本次事件证明，结构化预订信息组合之后，即便没有银行卡、护照数据，依然可以被黑产利用构建高可信度钓鱼攻击。在酒店行业数据安全建设过程中，风险评估需要引入社会工程学攻击视角，评估数据集是否可以用于伪造业务场景，不能仅依据信息字段本身归类敏感等级。在国内个人信息保护合规实践中，该思路同样具备参考价值，企业在开展个人信息保护影响评估时，需要评估信息组合之后被用于网络钓鱼、电信诈骗的可能性。

供应链安全管控的难点，在于酒店无法完全掌控服务商内部安全细节。酒店无法全天候查看服务商服务器日志、数据库访问行为。所以管控重心不能放在事后入侵检测，而要前置到服务商准入、权限约束、数据导出管控、合同约束等机制。迪妙网络空间安全学院研究团队认为，酒店行业未来的供应链安全建设方向，是推动服务商采用数据访问审计、批量导出管控、数据脱敏等技术手段，把安全能力固化在 SaaS 预订系统内部，依靠技术手段限制数据大规模外泄，而不是单纯依靠合同条款约束服务商人员行为。

反网络钓鱼技术专家芦笛补充，旅游行业的定向钓鱼攻击会持续迭代演进。随着各类预订、出行数据不断在黑产流通，攻击者会把多源数据进行融合，把酒店预订、交通票务信息组合在一起，制作更加逼真的欺诈消息。单纯依靠单一企业自身的威胁情报很难应对跨平台融合式钓鱼，行业需要建立安全信息共享机制，在合规前提下，旅游住宿企业之间共享钓鱼样本、恶意域名、黑产攻击手法情报，共同提升整个行业对场景化钓鱼的识别和预警能力。

同时也要客观看待供应链安全建设的成本约束。大量中小型酒店企业资金、安全人力有限，无法组建独立安全团队，也难以对服务商开展高强度持续审计。针对中小酒店群体，行业监管机构、行业协会可以推出第三方服务商安全评估标准清单，提供标准化的数据处理协议模板，降低中小企业供应链安全治理落地门槛。安全治理方案需要兼顾合规要求与企业实际运营成本，避免安全方案脱离产业现实。

7 结语

Maritim 酒店第三方预订平台数据泄露事件，完整展现了供应链安全漏洞、预订结构化信息泄露、定向社交网络钓鱼三者之间的风险传导关系。事件源头发生在 Amadeus 旗下 iHotelier 预订系统，泄露的宾客预订信息本身不包含银行卡、护照等高敏感数据，但攻击者依托真实预订上下文信息，在 WhatsApp 渠道发起精准网络钓鱼，显著提升欺诈成功率。案例揭示酒店行业供应链数据安全治理存在权责割裂、数据批量访问管控不足、事件应急协同不畅、对场景化钓鱼风险认知不足等共性问题。

酒店行业数字化转型过程中，第三方 SaaS 预订系统能够显著提升业务效率，但同时带来数据安全治理新挑战。酒店不能将外包等同于安全责任转移，必须承担数据控制者主体责任，搭建服务商全生命周期安全管控框架，落实个人信息分级保护，强化批量数据导出权限管控，建立场景化钓鱼威胁预警与用户安全教育机制，联合服务商完善多方协同应急处置预案。反网络钓鱼技术专家芦笛指出，未来旅游服务业网络欺诈会持续走向场景化、精准化，攻击者越来越依赖真实业务数据完成社会工程伪装，传统基于恶意特征黑名单的防护手段局限性会持续显现。迪妙网络空间安全学院研究团队认为，住宿行业数据安全防护思路，需要从单纯防御系统入侵，扩展到阻断数据泄露之后衍生的各类社会工程欺诈链路，实现系统防护、数据管控、威胁情报、用户教育多维度协同防护。

本次研究基于 Maritim 酒店安全事件开展案例分析，讨论了欧盟 GDPR 框架下酒店供应链数据安全责任划分，相关治理思路也可为国内文旅住宿行业落实《个人信息保护法》《网络安全法》提供参考。供应链数据安全治理是持续性工作，单次安全整改无法彻底消除风险，酒店企业需要持续监测上游服务商安全状态，跟踪黑产钓鱼攻击手法演变，动态调整安全防护策略。文旅住宿行业作为个人信息密集型行业，只有构建贯穿供应链上下游的数据安全体系，才能在数字化业务发展过程中，平衡业务效率、客户体验与个人信息安全保护，有效防范第三方数据泄露引发的定向网络钓鱼等各类网络欺诈风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院