英国航空让 22 行失窃的 JavaScript 窃取了 15 周的银行卡信息

2018 年 6 月 22 日起，通过被攻破的第三方账户进入 BA 系统的攻击者修改了英国航空网站和 App，使客户的支付和个人信息被复制到虚假服务器。这段恶意代码——大约 22 行 JavaScript，后来被认定为 Magecart 式网页窃取组织所为——将流量重定向到仿冒域名 "baways.com"，且在未被发现的情况下运行了两个多月。

2018 年 9 月 5 日，一家外部机构告知 BA 其数据正被外泄。此时攻击者已可能接触约 429,612 名客户和员工的个人数据，包括姓名、地址、登录信息和支付卡号，以及约 77,000 名客户的卡号和 CVV 安全码。

2019 年 7 月，ICO 发布了对 BA 处以 1.8339 亿英镑罚款的意向通知，约为其 2017 年全球营收的 1.5%，本将成为历史最高纪录。经 BA 陈述后，监管机构将基准罚款降至 3000 万英镑：因 BA 的快速遏制、通知和配合减少 600 万英镑，因新冠疫情对航司财务的影响再减 400 万英镑。最终罚款于 2020 年 10 月 16 日发布，金额为 2000 万英镑——至此时仍是 ICO 最高的 GDPR 罚款。

代表受影响客户提起的集体诉讼（被描述为英国历史上最大的个人数据索赔案）于 2021 年庭外和解。ICO 的处罚通知记录指出，BA 违反了 GDPR 第 5(1)(f) 条和第 32 条——未能确保个人数据的适当安全。