第三方订房平台遭入侵：真实预订资料成诈骗武器，澳洲度假公园承压

据澳大利亚ABC新闻报道，澳大利亚度假公园运营商BIG4确认，其网络内部分公园使用的第三方订房平台遭入侵，部分住客收到以真实预订资料为背景的诈骗信息，被要求提供信用卡或其他付款资料。BIG4称，该第三方平台也供若干其他住宿供应商和集团使用；公司已联系可能受影响的公园，并向住客提出初步建议：不要点击可疑链接，也不要提交支付信息。

RMS Cloud表示，正在调查通过WhatsApp、短信和电子邮件发送的网络钓鱼信息。这些信息引用真实预订资料并索取付款资料。公司称已采取遏制措施、保护客户资料，并协助受影响客户及系统集成合作伙伴。RMS同时声明：“没有支付卡信息遭到暴露。”这仍是调查中的公司说法，并非独立取证结论；它不能说明其他字段没有被访问或利用，也不能排除住客点击链接后另行提交新资料。

维多利亚州东吉普斯兰一家度假公园经理切丽·米德森告诉ABC，诈骗消息中的姓名和入住日期均正确，住客已开始联系度假公园。她表示已经把事件报告给联邦政府的Scamwatch网站。真实身份和行程信息让诈骗者能够把虚假通知包装成熟悉的订单或付款提醒，这正是此类攻击不同于普通随机冒充之处。

RMS官网称，公司为全球逾6000家酒店、度假公园和服务式公寓提供云端物业管理和预订系统。如此集中的供应商意味着，一处安全事件可能迅速把风险传导至多个运营商和住客。BIG4已确认旗下部分公园受影响。Reflections Holidays也向住客发出警告，称RMS告知其有冒充RMS、声称预订付款失败的网络钓鱼邮件，要求收件人不要点击链接或提供付款资料。Summerstar Tourist Parks则在社交媒体警告称，RMS已通知其发生涉及外部订房系统的安全事件，冒充该公司的邮件和WhatsApp信息要求点击链接验证预订。

风险并未停留在供应商后台。预订资料由RMS掌握，骗子利用其中的真实信息增强可信度，运营商却首先接到住客电话并承受声誉牵连。米德森说：“我们的资料被使用，这会反映在我们企业身上。”她担心客人受骗后会把损失与度假公园联系起来，“这是我们真正担心的事”。

据ABC报道，这并非澳洲旅客首次遭遇利用真实住宿资料的网络钓鱼。今年早些时候，Booking.com住客也曾收到通过WhatsApp和邮件发送、包含个人信息的假酒店消息。现有公开信息没有证明Booking.com事件与RMS事件存在关联。ABC采访的网络安全专家Daswin de Silva教授表示，旅行资料包含详细的身份信息，而且人们往往默认旅客具有支付能力，因此对网络犯罪者很有价值。

澳大利亚竞争与消费者委员会下属的Scamwatch在2026年第一季度收到逾1.3万宗网络钓鱼骗局报告。这个数字反映的是总体报案量，不能用来推算RMS事件的受害者规模。对本案而言，公共诈骗报告渠道不能替代技术调查：哪些数据字段被访问、复制或外传，攻击入口在哪里，发现及通知时间线如何，以及第三方取证是否支持RMS关于支付卡信息的声明，都需要得到可核验的说明。

如果已有住客因虚假付款或验证通知提交资料或遭受资金损失，RMS、BIG4及其他相关运营商还需说明如何登记事件、通知受害者及分配责任。下一份公告如果仍只重复“正在调查”，公众就无从判断“没有支付卡信息遭到暴露”究竟是初步判断，还是已经完成验证的安全结论。在完整取证和通知机制缺位的情况下，数据风险、信任成本和潜在损失仍会被推向下游的运营商与住客。