Laut Bloomberg ist Singapore Airlines Ltd. die jüngste Fluggesellschaft, die von einer Datenschutzverletzung bei einem ihrer Hauptsoftwareanbieter betroffen ist. Dem Bericht zufolge übersteigt die Zahl der durch den Hack branchenweit kompromittierten Buchungen inzwischen 200.000. Die Datenschutzverletzung bei Singapore Airlines ist eine Erinnerung daran, dass Ihre Reisedaten oft bei Unternehmen liegen, die Sie nie direkt ausgewählt haben.

Wie die Anbieter-Datenschutzverletzung Singapore Airlines erreichte

Der Vorfall begann nicht innerhalb der Fluggesellschaft. Bloomberg beschreibt ihn als eine Datenschutzverletzung bei einem der Hauptsoftwareanbieter von Singapore Airlines, und Singapore Airlines ist die jüngste Fluggesellschaft, die davon erfasst wurde. Die branchenweite Gesamtzahl von mehr als 200.000 kompromittierten Buchungen spiegelt wider, wie viele Fluggesellschaften auf dieselben Systeme angewiesen sind.

Das ist die zentrale Lehre. Fluggesellschaften lagern Reservierungen, Check-in und andere Funktionen an spezialisierte Anbieter aus. Wenn ein Anbieter kompromittiert wird, kann sich die Exposition auf jede Fluggesellschaft ausbreiten, die ihn nutzt, selbst wenn das eigene Netzwerk jeder Fluggesellschaft nie berührt wurde.

Für Hintergrundinformationen zur früheren Phase dieser Geschichte erklärt unsere Berichterstattung darüber, wie die Amadeus-Datenschutzverletzung 46.000 SIA-Buchungsdatensätze offenlegte, wie der Anbietervorfall für Singapore Airlines erstmals auftauchte. Der Bloomberg-Bericht erweitert das Bild von einer einzelnen Fluggesellschaft auf den gesamten Sektor.

Welche Buchungsdaten möglicherweise exponiert sind

Die Bloomberg-Zusammenfassung listet nicht genau auf, welche Felder entnommen wurden, und wir werden nicht raten. Reisebuchungsdatensätze enthalten typischerweise die Art von Details, auf die der für diese Geschichte vorgeschlagene Blickwinkel hinweist: Namen von Reisenden, Kontaktdaten und Reiserouten. Fluggesellschaften und der betroffene Anbieter sind am besten in der Lage, genau zu bestätigen, was in einem individuellen Fall involviert war.

Selbst ohne Zahlungsdaten haben diese Felder einen echten Wert. Ein Name in Kombination mit einer E-Mail-Adresse, einer Telefonnummer und einem Flugdatum gibt jemandem genug Kontext, um eine überzeugende Nachricht zu verfassen. Reiserouten sind besonders nützlich, weil sie zeigen, wo Sie wann sein werden.

Phishing- und Account-Übernahme-Risiken nach einer Reisedatenverletzung

Das Hauptpraxisrisiko bei einer Datenschutzverletzung wie dieser ist gezielte Täuschung. Ein Betrüger, der Ihre Buchungsdetails kennt, kann sich als die Fluggesellschaft ausgeben und eine Nachricht senden, die routinemäßig aussieht:

  • Eine Mitteilung, dass sich Ihr Flug geändert hat und Sie Ihre Buchung „bestätigen" müssen.
  • Ein Rückerstattungsangebot, das nach Kartendetails fragt.
  • Eine Check-in-Erinnerung mit einem Link zu einer gefälschten Anmeldeseite.
  • Ein Anruf oder eine Textnachricht, die vorgibt, Kundenservice zu sein, und nach einem Verifizierungscode fragt.

Der letzte Punkt ist wichtig für die Account-Übernahme. Wenn ein Betrüger Sie dazu bringt, einen Einmalcode vorzulesen oder Ihr Passwort auf einer gefälschten Seite einzugeben, kann er auf Ihr Treue- oder Buchungskonto zugreifen. Weil die Nachrichten echte Reisedetails erwähnen, wirken sie vertrauenswürdiger als generischer Spam.

Ähnliche anbietergetriebene Exposition hat andere Organisationen in Singapur getroffen. Die IBM-Testsystem-Datenschutzverletzung, die 70.000 SLA-Datensätze offenlegte, ist ein weiterer Fall, bei dem Daten über eine Drittanbieterumgebung statt über die eigene Eingangstür der Organisation exponiert wurden.

Reduzierung der personenbezogenen Daten, die Sie mit Reiseanbietern teilen

Sie können die Sicherheit eines Anbieters nicht kontrollieren, aber Sie können begrenzen, was verfügbar ist, um verloren zu gehen.

  • Teilen Sie nur, was erforderlich ist. Überspringen Sie optionale Felder wie zusätzliche Telefonnummern, Wohnadressen oder Dokumentdetails, es sei denn, eine Buchung benötigt sie wirklich.
  • Verwenden Sie eine dedizierte E-Mail-Adresse für Reisen. Eine separate Adresse macht verdächtige Nachrichten leichter erkennbar und begrenzt den Schaden, falls sie durchsickert.
  • Vermeiden Sie die Verknüpfung zu vieler Dienste. Weniger verbundene Konten bedeuten weniger Wege für einen Angreifer.
  • Halten Sie Buchungsbestätigungen ordentlich. Löschen Sie alte Bestätigungen, die Sie nicht mehr benötigen.
  • Aktivieren Sie starken Anmeldeschutz. Verwenden Sie einzigartige Passwörter und app-basierte oder hardwarebasierte Zwei-Faktor-Authentifizierung, wo angeboten.

Dies ist dasselbe Prinzip, das anderen jüngsten Vorfällen zugrunde liegt, wie der Alliance-Medinet-Datenschutzverletzung, die 110.000 Mitglieder traf: Je weniger sensible Details ein Dienst über Sie gespeichert hat, desto weniger gibt es zu exponieren.

Was das für Sie bedeutet

Wenn Sie kürzlich mit Singapore Airlines oder einer anderen Fluggesellschaft geflogen sind, gehen Sie davon aus, dass Ihre Buchungsdetails betroffen sein könnten, und handeln Sie entsprechend. Sie müssen nicht in Panik geraten, aber Sie sollten ändern, wie Sie mit Reisenachrichten umgehen. Behandeln Sie unerwartete E-Mails, Textnachrichten oder Anrufe zu Buchungen, Rückerstattungen oder Check-in als verdächtig, bis sie verifiziert sind.

Die sicherste Gewohnheit ist, Links in der Nachricht zu ignorieren und direkt zur offiziellen App oder Website der Fluggesellschaft zu gehen, die Sie selbst eintippen. Überprüfen Sie dort Ihre Buchung. Wenn kein Problem aufgeführt ist, war die Nachricht wahrscheinlich nicht echt. Teilen Sie niemals Einmalcodes mit jemandem, der Sie zuerst kontaktiert.

Wichtige Erkenntnisse

Die Datenschutzverletzung bei Singapore Airlines zeigt, wie ein einzelner Anbieterausfall sich über eine gesamte Branche ausbreiten kann, wobei jetzt mehr als 200.000 Buchungen als kompromittiert gemeldet werden. Halten Sie inne, bevor Sie auf eine unerwartete Buchungs-, Rückerstattungs- oder Check-in-Nachricht reagieren, verifizieren Sie über offizielle Kanäle und teilen Sie von vornherein weniger personenbezogene Daten mit Reiseanbietern. Um zu verstehen, wie der Anbietervorfall begann, lesen Sie unseren früheren Bericht über die Amadeus-Datenschutzverletzung und SIA-Buchungsdatensätze.