英國航空遭駭案，駭客可能只用22行程式碼就偷走38萬名乘客個資

英國最大的航空公司—英國航空（British Airways，BA）在日前宣布官網與行動程式遭到駭客入侵，美國的威脅鑑識業者RiskIQ則發現，駭客是修改了BA網站所採用的JavaScript函式庫Modernizr，只利用22行程式碼就盜走了38萬名乘客的付款資訊與個人資料。

RiskIQ威脅研究人員Yonathan Klijnsma指出，BA明確地提及駭客入侵了官網與行動程式，卻未指涉任何資料庫或伺服器，且遭竊資料只限於付款格式的內容，使得他們立即想到Magecart集團。

Magecart集團最早在2016年曝光，繼之於今年7月再度涉及售票網站Ticketmaster的客戶付款資訊遭竊案，該集團的主要手法是在電子商務網站上植入可竊取付款資訊的惡意腳本程式，也許是事先取得了目標網站的登入憑證，或是藉由目標網站的第三方服務入侵。

於是RiskIQ研究人員仔細檢驗了BA網站上的JavaScript程式碼，發現當中的Modernizr函式庫被竄改了，竊改日期就在今年的8月21日，正是BA遭到駭客入侵的第一天。駭客植入了22行的惡意程式碼(下圖，來源：RiskIQ)，以便在使用者於BA網站上提交付款資訊時，汲取相關資訊及用戶名稱，同時將它們傳送到位於羅馬尼亞的伺服器上。

此外，駭客所作的變更是在Modernizr的末端，這是駭客經常使用的手法，以在不破壞正常功能的情況下竄改JavaScript檔案。

Klijnsma說明，這22行程式碼可稱為數位讀卡機，而且是替BA量身打造的，顯示駭客曾仔細觀察BA付款頁面的設計，而非隨便地植入一個標準化的讀卡機程式。

有鑑於BA行動程式的主要功能也是自網頁載入，駭客在BA的行動網頁上亦如法炮製，因而能同時取得官網與行動程式的乘客付款資訊。