12月2日晚间，国内最大的漏洞发布平台乌云网公开了一个关于东方航空大量乘客订单信息泄露的漏洞，该漏洞类型为重要敏感信息泄露，危害等级为高。业内人士称，这个漏洞会导致旅客姓名、手机号以及航班信息等资料外泄。这一消息随即引发全国范围的关注。
　　事实上，从去年开始，航班短信诈骗愈发频繁，涉及众多国内航空公司，并出现了航班改期、退票等电信诈骗行为，给用户的财产安全带来威胁隐患。一年多时间过去，这样的诈骗案仍层出不穷，联系到前述东航信息泄露的事件，我们想要追问的是：究竟是谁泄露了乘客的信息？如何辨别和防范这类骗局的一再发生？
　　经常乘坐飞机的人士如今需要一项必备技能：熟记航空公司的客服号码。
　　去年下半年开始，一种新型诈骗方式突然在国内蔓延开来。不断有乘客发现，在其购买机票后不久便收到通知称其航班取消，需要联系“客服”进行退款操作。直到其银行卡上的资金不翼而飞后，乘客们才意识到所谓“客服”操作的是一场骗局。
　　过去一年来，这类仅针对航班乘客的短信诈骗在全国各地均有发生，相关案例也不时见诸报端，然而受骗的案例还是在不断增加——厦门警方近日通报的一起特大诈骗案中，一位与“航空公司客服”联系过的受害者银行卡被转走了176万元。
　　短信露出了哪些马脚？
　　一切都是从一条短信开始。在航班起飞前一至两天，很多乘客都会收到这样一条短信：
　　【xx航空】尊敬的xx乘客，您于xx月xx日xx至xx的航班因机械故障（或天气原因、航空公司原因）被迫取消，由此给您带来的不便敬请谅解。收到短信后请及时与本公司客服联系办理退票或改签，以免影响行程。退款手续费xx元，【xx航空客服电话400x-xxx-xxx】。
　　这基本是此类诈骗短信的标准格式。过去一年多以来，国内几乎所有航空公司都有乘客中招。短信发送的时间往往是距离起飞仅有一两天时间，并且多在晚间。很多收到诈骗短信的乘客回忆，收到短信之后发现信息一致，于是放松了警惕，并且因为距离起飞日期接近，因此便在慌张的心理状态下与短信提供的电话取得了联系。
　　尽管看似相当正规，这样一条几十个字的短信仔细查看其实会暴露出很多问题。
　　首先，很多收到此类诈骗短信的乘客回忆，发送短信的号码有的是手机号码，有的是类似网络电话00开头的号码，与航空公司的电话号码并不一致。国内航空公司的官方号码大致可以分为两类：一类是与其客服电话一样的955开头的短号，一类是机构企业发送短信常用的1069、1065等开头的号码。
　　客服电话的不同也引起了很多乘客的注意。国航、东航、南航、海航、吉祥、首都航空、春秋、深圳航空、厦门航空等国内绝大多数航空公司使用的客服电话均是以955或95开头，携程和去哪儿等第三方订票网站的官方客服电话也是1010开头，只有极少数航空公司仍然保留了400开头的客服电话。由于400开头的电话较为容易注册，因此在此类航班诈骗短信中最为常见。
　　除了短信来源，短信内容本身也值得推敲。按照国内的民航政策，如果航班遇到因航空公司的原因被迫取消的话，乘客都可以免费退票或改期，并不会存在诈骗短信所说的“退票或改期需要收取手续费”的情况。
　　以东航为例，东航的《旅行须知》中明确规定，由于机务维护、航班调配、商务、机组等原因，造成航班延误或取消，东航将向旅客提供航班动态信息、安排餐食或住宿等服务。
　　而另一方面，《旅行须知》也提到，由于天气、突发事件、空中交通管制、安检以及旅客等非承运人原因造成的航班延误或取消，东航可协助旅客安排餐食和住宿，但费用由旅客自理。换言之，如果有航班因天气原因、空中交通管制等非航空公司自身原因造成的航班取消，航空公司并不会主动向乘客提出经济补偿，最多只会提前发放机上餐食。
　　此外，由于每个乘客购票的舱位不同，涉及的退改签费用各有具体的规定，航空公司更不可能在发送的短信中明确写出退票手续费的具体数额。
　　如何识别真假“客服”
　　但在多方面的因素干扰下，很多乘客并没有及时地意识到自己遭遇了诈骗，还是按照短信的引导拨通了那个400开头的“客服电话”。
　　多位乘客向21世纪经济报道记者回忆，在接通电话之后，“客服”往往会进一步报出乘客订票时登记的证件号码，然后向乘客询问银行卡卡号，称用于退款或收取手续费。在乘客提供了信息之后，客服会要求不要挂机，很快乘客便会收到一条支付宝等支付软件的验证码，此时“客服”便会要求乘客提供验证码，其理由多是需要进一步确认是当事人。
　　在部分案例当中，乘客在提供了银行卡号之后很快会收到一笔入账，“客服”以此来取得乘客的信任，然后声称还要继续向乘客提供其他服务，之后便会回到上述要求提供验证码的模式当中。另外还有部分案例中的“客服”不会通过网络渠道，而是要求乘客通过银行柜台或ATM机进行操作。
　　即使到了电话联系“客服”的环节，乘客仍然可以有很多办法识别出是否上当。首先，有不止一位受害者回忆，电话那头的“客服”说话有口音，和航空公司、订票网站客服人员应有的普通话水平并不相符。
　　此外便是提供银行卡的环节。在不同受害人的口中，这一环节的骗术五花八门，“客服”要求提供银行卡、验证码等信息的理由也是千奇百怪，甚至还有的“客服”会真的先向受害者卡上转一笔账以骗取信任。
　　但同样是根据航空公司的政策，如果是出现了退票，无论是乘客自愿退票还是被迫退票，这部分退款都会自动地返回到乘客最初购买机票所用的银行卡、第三方支付软件账户或代金卡的原账户上，乘客不需要再补充任何账户信息，更不需要提供相关账户的验证码或密码。“客服”要求乘客提供的验证码、密码等，往往是“客服”一方试图从卡上转出资金时面临的最后一道关口。
　　和短信一样，“客服”在电话中解释航班取消理由时也容易露出马脚——如果是自身原因导致取消或延误时，航空公司执行的是免费退票，不收手续费；如果是非自身原因，也需要根据每个乘客的具体舱位来收取不同比例的手续费，并不会统一给出定额。