Et databrud hos rejsesoftwareleverandøren Amadeus har påvirket 46.000 bookingregistreringer hos Singapore Airlines (SIA), ifølge en rapport fra The Straits Times. De eksponerede oplysninger omfatter kundeoplysninger, men betalingsoplysninger var ikke en del af det, der blev tilgået. Amadeus-SIA-databruddet er en nyttig påmindelse om, at dine personoplysninger kan blive kompromitteret hos en virksomhed, du aldrig har tilmeldt dig.

Kilderapporteringen er kortfattet, så dette indlæg holder sig til det, der er bekræftet, og fokuserer på, hvad rejsende med rimelighed kan gøre ved det.

Hvad blev eksponeret i Amadeus-bruddet

Ifølge rapporten blev 46.000 SIA-bookingregistreringer tilgået ulovligt i en hændelse, der påvirkede Amadeus, en softwareleverandør, der understøtter flyselskabers bookingsystemer. Registreringerne indeholdt kundeoplysninger. Betalingsoplysninger blev ikke eksponeret.

Artiklen specificerer ikke her, hvilke præcise felter der var inkluderet, hvordan angriberne kom ind, eller hvem der var ansvarlig, så vi vil ikke gætte. Hvis du har booket hos SIA, er den sikreste antagelse, at den type oplysninger, der typisk er knyttet til en reservation, såsom dit navn og rejsedetaljer, kan være involveret, indtil flyselskabet fortæller dig andet. Tjek enhver direkte meddelelse fra SIA eller Amadeus, da disse vil beskrive de specifikke data, der er berørt.

Hvorfor tredjeparts-bookingsystemer er et svagt led

De fleste rejsende tænker på en booking som et forhold mellem dem selv og et flyselskab. I praksis passerer reservationsdata ofte gennem og lagres af teknologileverandører, der sidder bag kulisserne. Du valgte aldrig disse leverandører, læste aldrig deres privatlivspolitikker og kan normalt ikke fravælge dem.

Det skaber et strukturelt problem. Et flyselskab kan investere tungt i sin egen sikkerhed, men en svaghed hos en leverandør kan stadig eksponere dets kunder. Det samme mønster dukker op på tværs af brancher. Vores dækning af Goldman Sachs' og Man Groups oplysninger i EY-databruddet viste, hvordan en hændelse hos én leverandør kan brede sig til at berøre mange klientorganisationer. Ligeledes er SafePal-databruddet, der eksponerede næsten 40.000 kunder, endnu et eksempel på, at kundedata bliver sårbare gennem systemerne omkring et produkt, ikke kun produktet selv.

For rejsende er den praktiske konklusion, at antallet af organisationer, der opbevarer dine data, er større end antallet af brands, du har med at gøre.

Hvorfor et brud uden kortdata stadig betyder noget

Det er fristende at slappe af, når man hører, at ingen betalingsoplysninger blev taget. Det er godt nyt, da det sænker risikoen for direkte kortsvindel. Men bookingregistreringer er stadig værdifulde for kriminelle af en anden grund: de giver kontekst.

En besked, der refererer til dit rigtige navn og en faktisk kommende rejse, er langt mere overbevisende end en generisk svindel. Angribere kan bruge den slags detaljer til at udforme phishing-e-mails eller -tekster, der ser ud til at komme fra et flyselskab, en rejseagent eller en betalingstjeneste, og som opfordrer dig til at "bekræfte" en booking, kræve en refundering eller opdatere dine oplysninger. Personoplysninger kan også kombineres med data fra andre lækager for at opbygge en fyldigere profil, hvilket gør identitetssvindel lettere at forsøge.

Dette er et tilbagevendende tema i brudrapportering. Selv når de mest åbenlyst følsomme felter skånes, har lækkede personoplysninger en tendens til at cirkulere og blive genbrugt. Vores rapport om Qilins påstand mod Hawaii Dental Group er en anden sektor, men lektionen er lignende: når registreringer forlader en organisations kontrol, varer den efterfølgende risiko længe efter den første overskrift.

Skridt berørte passagerer kan tage nu

Du behøver ikke at gå i panik, men et par afmålte skridt er værd at tage:

  • Hold øje med officielle meddelelser. Hvis SIA eller Amadeus kontakter dig, så læs det grundigt. Gå til flyselskabets hjemmeside ved selv at skrive adressen i stedet for at klikke på links i e-mails.
  • Behandl uventede rejsemeddelelser med mistanke. Vær på vagt over for e-mails eller tekster om ændrede fly, refunderinger, sædeopgraderinger eller bookingbekræftelser, du ikke har anmodet om, selv hvis de indeholder nøjagtige detaljer.
  • Sikr din flyselskabskonto. Brug en unik, stærk adgangskode, og slå to-faktor-godkendelse til, hvis det tilbydes. Hvis du har genbrugt adgangskoden andre steder, så skift den der også.
  • Tjek din frequent flyer-konto. Gennemgå nylig aktivitet og tilknyttede kontaktoplysninger for noget ukendt.
  • Overvåg dine finansielle konti. Selvom betalingsdata angiveligt ikke var involveret, er regelmæssige tjek en fornuftig vane efter ethvert brud.
  • Begræns, hvad du deler. Angiv kun de oplysninger, en booking kræver, og vær forsigtig med ekstra information, som tredjepartssider anmoder om.

Hvad dette betyder for dig

Hvis du fløj eller bookede med Singapore Airlines, kan dine oplysninger ligge i et system, der drives af en virksomhed, du aldrig har haft direkte med at gøre. Det rapporterede fravær af betalingsdata er betryggende, men den reelle kortsigtede risiko er målrettet phishing, der bruger ægte bookingdetaljer til at fremstå legitime. At sætte tempoet ned, før du klikker, og verificere enhver anmodning gennem officielle kanaler, er dit stærkeste forsvar.

Mere generelt kan du ikke revidere enhver leverandør bag enhver tjeneste, du bruger, men du kan reducere skaden, når en fejler. Unikke adgangskoder, to-faktor-godkendelse og en sund skepsis over for uopfordrede meddelelser rækker langt.

Vigtige pointer

Amadeus-SIA-databruddet påvirkede 46.000 bookingregistreringer og omfattede ifølge rapporten ikke betalingsoplysninger. Gennemgå sikkerheden på din flyselskabskonto i dag, vær opmærksom på phishing, der refererer til dine rejseplaner, og verificer alt uventet gennem officielle kanaler. For mere om, hvordan tredjepartseksponering udspiller sig, læs vores dækning af EY-databruddet og dets navngivne ofre og SafePal-bruddet.