【惊】IHG竟可以不用验证任何身份取消预订？？？

今天看了有人发文湖州皇冠积分房被取消，客服查询来自官网取消，后发现官网竟然可以不登录账号的情况下仅仅验证CRS确认号和姓氏取消一个人的预订？？？

让我们来亲自测试

选择住宿

管理您的预订

此处不选择登录，而是输入CRS确认号和姓氏

预定就出来了，注意，此处不需要登录

下方有取消按钮，让我们点点看

出现取消界面，仍然是不登录的状态（而且为了防止网页记忆，我用了朋友的号预定，那个账户从未在这台电脑上登录过）

毫无悬念取消成功，IHG让人惊呆....真特么也可以？？？

讲个笑话，四位数的登陆密码

醉卧沙场君莫笑 发表于 2020-6-5 18:39

讲个笑话，四位数的登陆密码

这下四位数都省了

这个姓氏.+订单号 应该要比密码复杂吧

密码四位数了解一下

Bob-shi 发表于 2020-6-5 19:00

这个姓氏.+订单号 应该要比密码复杂吧

这个故事有趣的地方在于，密码理论上只有你自己知道...而且这个是明传给酒店的，于是就有了湖州皇冠案.....

醉卧沙场君莫笑 发表于 2020-6-5 18:39

讲个笑话，四位数的登陆密码

为啥我的密码就很长了？

llsun 发表于 2020-6-5 19:05

为啥我的密码就很长了？

去年下半年新注册和改密码的都是长密码了

lzy7402 发表于 2020-6-5 19:06

去年下半年新注册和改密码的都是长密码了

是呀，本来觉得4位密码不安全，就弄个长密码，谁知道也不太安全

烦不烦哦  天天发 天天发

难怪爱吃鸡酒店可以无故取消客人预定

保护好自己的信息。同理信用卡知道卡号，有效期，背面三位数也可以消费。

飞客2211254 发表于 2020-6-5 20:14

烦不烦哦天天发 天天发

酒店派来的？

飞客2211254 发表于 2020-6-5 20:14

烦不烦哦天天发 天天发

有问题还不能说了？

K丶阿超 发表于 2020-6-5 20:26

保护好自己的信息。同理信用卡知道卡号，有效期，背面三位数也可以消费。

主要是确认号和姓名对于酒店是明传信息，任何部门的员工都可以查看，信用卡需要权限，但也不难就是了

飞客2211254 发表于 2020-6-5 20:14

烦不烦哦天天发 天天发

呵呵，你来当水兵最烦就是你

确认号要自己保管好啊，机票不也是确认号加姓氏就可以，国外机票好像是！

inter140 发表于 2020-6-5 21:25

确认号要自己保管好啊，机票不也是确认号加姓氏就可以，国外机票好像是！

这个漏洞在于这些信息对于酒店的员工是完全公开的，所以他可以取消你的订单，就像湖州皇冠这次

这个修改方式很多酒店、航空都这样子吧，问题在于酒店可能的不规范操作，而不是吐槽这个制度…

酒店要取消你的预订什么都不需要知道