Изтичане на данни при доставчика на софтуер за пътувания Amadeus е засегнало 46 000 резервации на Singapore Airlines (SIA), според репортаж на The Straits Times. Изложената информация включва данни на клиенти, но платежната информация не е била част от достъпеното. Изтичането на данни в Amadeus, свързано със SIA, е полезно напомняне, че личните ви данни могат да бъдат компрометирани в компания, с която никога не сте се регистрирали.

Източникът на репортажа е кратък, затова тази публикация се придържа към потвърденото и се фокусира върху това, което пътуващите могат разумно да направят по въпроса.

Какво беше изложено при изтичането в Amadeus

Според доклада 46 000 резервации на SIA са били достъпени незаконно при инцидент, засегнал Amadeus — доставчик на софтуер, който поддържа системи за резервации на авиокомпании. Записите са съдържали данни на клиенти. Платежната информация не е била изложена.

Статията не уточнява кои точно полета са били включени, как са проникнали нападателите или кой е отговорен, затова няма да гадаем. Ако сте резервирали със SIA, най-безопасното предположение е, че информацията, обичайно свързана с резервация — като име и данни за пътуването — може да е засегната, докато авиокомпанията не ви уведоми друго. Проверете всяко директно уведомление от SIA или Amadeus, тъй като те ще описват конкретните засегнати данни.

Защо системите за резервации на трети страни са слабо звено

Повечето пътуващи възприемат резервацията като връзка между тях и авиокомпанията. На практика данните за резервации често преминават през и се съхраняват от технологични доставчици, които стоят зад кулисите. Вие никога не сте избирали тези доставчици, не сте чели политиките им за поверителност и обикновено не можете да се откажете от тях.

Това създава структурен проблем. Авиокомпанията може да инвестира сериозно в собствената си сигурност, но слабост при доставчик все още може да изложи нейните клиенти. Същият модел се проявява в различни индустрии. Нашето отразяване на разкритията на Goldman Sachs и Man Group при изтичането на данни в EY показа как инцидент при един доставчик може да се разпространи и да засегне много клиентски организации. По същия начин изтичането на данни в SafePal, което изложи близо 40 000 клиенти, е друг пример за това как клиентските данни стават уязвими чрез системите около даден продукт, а не само чрез самия продукт.

За пътуващите практическият извод е, че броят на организациите, които държат данните ви, е по-голям от броя на марките, с които имате работа.

Защо изтичане без данни за карти все още има значение

Изкушаващо е да се отпуснете, когато чуете, че не са взети платежни данни. Това е добра новина, тъй като намалява риска от директна измама с карти. Но резервационните записи все още са ценни за престъпниците по друга причина: те предоставят контекст.

Съобщение, което споменава истинското ви име и действително предстоящо пътуване, е много по-убедително от общ фишинг. Нападателите могат да използват такива подробности, за да създадат фишинг имейли или съобщения, които изглеждат сякаш идват от авиокомпания, туристическа агенция или платежна услуга, подканвайки ви да „потвърдите“ резервация, да поискате възстановяване на средства или да актуализирате данните си. Личната информация може също да се комбинира с данни от други изтичания, за да се изгради по-пълен профил, което улеснява опитите за идентификационна измама.

Това е повтаряща се тема в репортажите за изтичания на данни. Дори когато най-очевидно чувствителните полета бъдат пощадени, изтеклите лични данни обикновено се разпространяват и се използват повторно. Нашият доклад за твърдението на Qilin срещу Hawaii Dental Group е от друг сектор, но поуката е подобна: щом записите напуснат контрола на дадена организация, последващият риск продължава да съществува дълго след първоначалното заглавие.

Стъпки, които засегнатите пътници могат да предприемат сега

Не е нужно да изпадате в паника, но няколко премерени стъпки си заслужават:

  • Следете за официални уведомления. Ако SIA или Amadeus се свържат с вас, прочетете внимателно. Отворете уебсайта на авиокомпанията, като въведете адреса сами, вместо да кликвате върху връзки в имейли.
  • Отнасяйте се с подозрение към неочаквани съобщения за пътувания. Бъдете внимателни с имейли или текстови съобщения за променени полети, възстановявания, ъпгрейди на места или потвърждения на резервации, които не сте поискали, дори когато съдържат точни подробности.
  • Защитете акаунта си в авиокомпанията. Използвайте уникална, силна парола и включете двуфакторно удостоверяване, ако е налично. Ако сте използвали същата парола другаде, сменете я и там.
  • Проверете акаунта си за често летящи пътници. Прегледайте скорошната активност и свързаните данни за контакт за нещо непознато.
  • Наблюдавайте финансовите си сметки. Въпреки че платежните данни по информация не са били засегнати, редовните проверки са разумна практика след всяко изтичане.
  • Ограничете какво споделяте. Предоставяйте само данните, необходими за резервация, и бъдете предпазливи с допълнителна информация, изисквана от сайтове на трети страни.

Какво означава това за вас

Ако сте летели или резервирали със Singapore Airlines, информацията ви може да се намира в система, управлявана от компания, с която никога не сте имали пряк контакт. Съобщената липса на платежни данни е успокояваща, но реалният краткосрочен риск е целенасочен фишинг, който използва истински резервационни данни, за да изглежда легитимен. Да се забавите, преди да кликнете, и да проверявате всяка заявка чрез официални канали, е най-силната ви защита.

В по-широк план не можете да одитирате всеки доставчик зад всяка услуга, която използвате, но можете да намалите щетите, когато един от тях се провали. Уникалните пароли, двуфакторното удостоверяване и здравословният скептицизъм към непоискани съобщения стигат далеч.

Основни изводи

Изтичането на данни в Amadeus, свързано със SIA, засегна 46 000 резервации и според доклада не е включвало платежна информация. Прегледайте сигурността на акаунта си в авиокомпанията още днес, бъдете бдителни за фишинг, който споменава плановете ви за пътуване, и проверявайте всичко неочаквано чрез официални канали. За повече относно това как се развива излагането чрез трети страни, прочетете нашето отразяване на изтичането на данни в EY и посочените жертви и изтичането в SafePal.