ZenithJet总裁Iain Houseman阐述公务航空运营防范网络犯罪的措施

ZenithJet 总裁 Iain Houseman 以 CJI 专家身份撰文指出，现代公务机一半是飞机，一半是办公室，同时还是一个互联的数据环境。一次行程中，敏感信息会在飞机、机组、飞行部门、公司系统和外部服务商之间流转。

Houseman 认为，答案不是把每位飞行员、工程师或签派员都培养成网络安全专家。他主张，应当给人们明确的规则和可靠的工具，让他们在觉得不对劲时有底气先停一下，再辅以严格的访问控制、安全的机上连接和细致的供应商管理。

他援引 NBAA 的内容指出，公务机承载着旅客名单、高管行程和机舱内的保密谈话等价值极高的信息，而规模较小的飞行部门得到的专职安全支持可能不如航空公司。NBAA 2026 年 7 月和 8 月的 Business Aviation Insider 文章把 AI 辅助的钓鱼攻击和深度伪造的高管冒充列为日益上升的威胁。NBAA 安保委员会的一名成员估计，影响公务航空的攻击每年翻一番；文章把这一数字视为从业者的估计，而不是完整的行业统计。

文章梳理了攻击在组织内的各条路径：高管面对深度伪造来电和被盗凭证，财务面对被篡改的发票和紧急转账请求，飞行运行和签派面对钓鱼与供应商被攻破，机组面对公共场所或 FBO 的 Wi-Fi 和弱口令。维修面对老旧笔记本电脑、可移动介质和远程访问，IT 部门和供应商则面对凭证窃取与勒索软件。

在 Rob Hodgetts 主编的 Corporate Jet Investor 2026 年上半年报告中，Wheeler 讲述了一个案例：一台感染恶意软件的维修用笔记本电脑连上了飞机的 Wi-Fi，记录了键盘输入，并试图把数据传到外部。

建议的管控措施从治理入手：指定一名负责的高管和一名运行层面的责任人，并建立飞机联网系统、设备、特权账户和关键供应商的清单。文章以 NIST Cybersecurity Framework 2.0 的六项职能——治理、识别、防护、检测、响应和恢复——作为组织框架。

在访问控制方面，文章要求对邮件、云、VPN、排班、维修和管理员账户启用多因素认证，并引用 CISA 的建议：高风险和关键服务应使用抗钓鱼的多因素认证。文章还要求使用唯一账户、及时撤销权限，并限制管理员权限。

这套框架把飞机看作一条链上的一个节点，这条链包括机舱、飞行部门、财务办公室和每一家外部服务商。按这一模型，攻击者不必接触飞机本身：一张逼真的发票、一通伪造的高管来电，或一个被攻破的供应商账户，就能在地面造成损失。

这对规模较小的飞行部门尤为重要，NBAA 的内容提到，这类部门得到的专职安全支持可能不如航空公司。Houseman 描述的做法靠的是明确责任人、资产清单和清晰规则，而不是增加专业人手，小型部门不设专门的安全团队也能采用。

每年翻一番的估计只是从业者的看法，并非实测的行业统计，因此更有用的检验标准是：各部门能否说明谁对网络风险负责、有哪些联网系统、哪些供应商能接触到这些系统。