如果你过去三年搭过马航（Malaysia Airlines），这则新闻和你有关。马航上周末发表声明，指订位系统供应商Amadeus发生网络安全事故，2023年8月至2026年9月期间经Amadeus处理的部分顾客资料可能受到影响。马航强调，自家IT系统没有被入侵，目前也没有证据显示财务资料被取用。

这件事的提醒不只在航空业。很多本地企业都把顾客资料交给外部系统处理，例如会员系统、电商后台、客服软件。系统可以外包，出事时顾客找的却是品牌。

发生了什么：一个供应商出事，多家航空公司受波及

Amadeus是全球主要的航空订位科技供应商之一。据路透社报道，Amadeus表示发现一个旅游订位显示环境存在漏洞，但没有说明受影响人数。

受影响的不只马航。国泰航空在官网说明，约5.3万笔订位受影响，多数涉及乘客姓名、订位编号与航班资料，较少部分可能包括电邮、电话、旅行证件号码或飞行常客号码；国泰称Amadeus在10月28日通知它。另据报道，日本航空约9.2万名顾客、全日空约3.78万名顾客可能受影响。各家统计方式不同，数字不能直接相加。

马航目前没有公布受影响人数与资料类别，只表示正与Amadeus等各方调查，并会再作更新。

为什么这是CRM的事：顾客不会分“你”和“你的供应商”

CRM（客户关系管理）用白话说，就是企业怎样记住顾客、服务顾客、留住顾客。顾客愿意把姓名、电话、会员号码交出来，是因为信任这个品牌。

所以资料出事时，新闻标题写的是“马航顾客资料外泄”。马航先讲清楚受影响时段、哪些系统没事、顾客要提防什么，就是在第一时间稳住信任。

还有一个更实际的风险：外泄的姓名、订位和联络资料，会让诈骗讯息看起来更像真的。冒充熟悉的品牌来骗资料，就叫“网络钓鱼”（phishing），例如一封写着你真实航班号码的假“退款通知”。马航也提醒顾客，留意任何要求提供个人或财务资料的可疑或陌生讯息。

法规怎么说：72小时、7天、1,000人

马来西亚《个人资料保护法令》（PDPA）修订后，强制资料外泄通报自2025年6月1日起生效。按个人资料保护专员发出的指南：

• 资料外泄造成或可能造成“重大伤害”（例如财务损失、敏感资料外泄），或涉及超过1,000名资料当事人，资料控制者须在72小时内通报专员；
• 可能造成重大伤害的，还须在通报专员后7天内通知受影响的个人；
• 每宗外泄都要登记在案，记录至少保存2年。

指南也建议企业在合约里要求供应商：一旦外泄，要及时通知企业并协助通报。以上是一般法规说明，本文不评论马航个案的通报情况。

企业可以先做的3件事

第一，画一张“顾客资料去了哪里”的清单。会员系统、电商平台、电邮营销工具、客服软件、外包物流，凡是存有顾客资料的供应商都列出来，写明存了哪些资料、保存多久。用不到的旧资料按政策删除，资料越少，出事时影响越小。

第二，把“出事要多快通知我”写进供应商合约。企业通报专员只有72小时，如果供应商一星期后才通知你，就来不及了。合约要写清楚供应商发现外泄后多久通知、要提供哪些资料、谁是联络人。

第三，事先写好给顾客的说明稿。内容至少包括：发生了什么、影响哪段时间、哪些资料可能受影响、哪些没有、顾客要注意什么、怎样联络客服。同时清楚告诉顾客，品牌不会通过陌生链接索取密码或银行资料。

接下来看什么

后续可以留意三点：马航会否公布受影响人数与资料类别，并逐一通知顾客；Amadeus的调查结果与补救措施；以及其他使用同一系统的航空公司陆续公布的影响范围。对一般企业来说，这次事件提醒的是：顾客资料交给谁处理，都要算进品牌信任的成本里。

资料来源

• Malay Mail：Malaysia Airlines warns customers of data exposure in Amadeus cybersecurity breach（2026年11月1日）
• Media Selangor（转载路透社）：Malaysia Airlines says customers may be affected by Amadeus breach（2026年11月1日）
• 国泰航空官网：Personal data security incident involving a third-party service provider
• Aviation A2Z：Cathay Pacific confirms data breach affecting 53,000 bookings（2026年10月31日）
• DLA Piper Privacy Matters：Malaysia guidelines issued on data breach notification and DPO appointment