Η Singapore Airlines Ltd. έγινε ο πιο πρόσφατος αερομεταφορέας που επλήγη από παραβίαση δεδομένων σε έναν από τους κύριους παρόχους λογισμικού της, σύμφωνα με το Bloomberg. Το ρεπορτάζ αναφέρει ότι ο αριθμός των κρατήσεων που έχουν εκτεθεί σε ολόκληρο τον κλάδο από την κυβερνοεπίθεση πλέον ξεπερνά τις 200.000. Η παραβίαση δεδομένων της Singapore Airlines αποτελεί υπενθύμιση ότι τα ταξιδιωτικά σας δεδομένα συχνά βρίσκονται σε εταιρείες που δεν επιλέξατε οι ίδιοι άμεσα.

Πώς η παραβίαση του προμηθευτή έφτασε στη Singapore Airlines

Το περιστατικό δεν ξεκίνησε μέσα από την αεροπορική εταιρεία. Το Bloomberg το περιγράφει ως παραβίαση σε έναν από τους κύριους παρόχους λογισμικού της Singapore Airlines, και η Singapore Airlines είναι ο πιο πρόσφατος αερομεταφορέας που ενεπλάκη σε αυτήν. Το συνολικό σύνολο σε ολόκληρο τον κλάδο, άνω των 200.000 παραβιασμένων κρατήσεων, αντανακλά πόσες αεροπορικές εταιρείες βασίζονται στα ίδια συστήματα.

Αυτό είναι το βασικό δίδαγμα. Οι αεροπορικές εταιρείες αναθέτουν σε εξωτερικούς ειδικούς προμηθευτές τις κρατήσεις, το check-in και άλλες λειτουργίες. Όταν ένας προμηθευτής παραβιάζεται, η έκθεση μπορεί να εξαπλωθεί σε κάθε αεροπορική εταιρεία που τον χρησιμοποιεί, ακόμη και αν το ίδιο το δίκτυο κάθε αεροπορικής εταιρείας δεν θίχτηκε ποτέ.

Για το ιστορικό του προηγούμενου σταδίου αυτής της ιστορίας, η κάλυψή μας για το πώς η παραβίαση της Amadeus εξέθεσε 46.000 αρχεία κρατήσεων της SIA εξηγεί πώς το περιστατικό του προμηθευτή πρωτοεμφανίστηκε για τη Singapore Airlines. Το ρεπορτάζ του Bloomberg διευρύνει την εικόνα από έναν αερομεταφορέα σε ολόκληρο τον κλάδο.

Ποια δεδομένα κρατήσεων μπορεί να έχουν εκτεθεί

Η σύνοψη του Bloomberg δεν απαριθμεί ακριβώς ποια πεδία ελήφθησαν, και δεν θα υποθέσουμε. Τα αρχεία ταξιδιωτικών κρατήσεων συνήθως περιέχουν τον τύπο λεπτομερειών στον οποίο παραπέμπει η προτεινόμενη οπτική γωνία αυτής της ιστορίας: ονόματα ταξιδιωτών, στοιχεία επικοινωνίας και δρομολόγια. Οι αεροπορικές εταιρείες και ο επηρεαζόμενος προμηθευτής είναι οι καταλληλότεροι για να επιβεβαιώσουν με ακρίβεια τι αφορούσε κάθε μεμονωμένη περίπτωση.

Ακόμη και χωρίς δεδομένα πληρωμής, αυτά τα πεδία έχουν πραγματική αξία. Ένα όνομα συνδυασμένο με μια διεύθυνση email, έναν αριθμό τηλεφώνου και μια ημερομηνία πτήσης δίνει σε κάποιον αρκετό πλαίσιο για να συντάξει ένα πειστικό μήνυμα. Τα δρομολόγια είναι ιδιαίτερα χρήσιμα επειδή δείχνουν πού θα βρίσκεστε και πότε.

Κίνδυνοι ηλεκτρονικού ψαρέματος και κατάληψης λογαριασμού μετά από ταξιδιωτική παραβίαση

Ο κύριος πρακτικός κίνδυνος από μια τέτοια παραβίαση είναι η στοχευμένη εξαπάτηση. Ένας απατεώνας που γνωρίζει τα στοιχεία της κράτησής σας μπορεί να υποδυθεί την αεροπορική εταιρεία και να στείλει ένα μήνυμα που φαίνεται συνηθισμένο:

  • Μια ειδοποίηση ότι η πτήση σας άλλαξε και πρέπει να «επιβεβαιώσετε» την κράτησή σας.
  • Μια προσφορά επιστροφής χρημάτων που ζητά στοιχεία κάρτας.
  • Μια υπενθύμιση check-in με σύνδεσμο προς ψεύτικη σελίδα σύνδεσης.
  • Μια κλήση ή μήνυμα που ισχυρίζεται ότι είναι εξυπηρέτηση πελατών και ζητά κωδικό επαλήθευσης.

Το τελευταίο στοιχείο έχει σημασία για την κατάληψη λογαριασμού. Αν ένας απατεώνας σας πείσει να του διαβάσετε έναν κωδικό μίας χρήσης ή να εισαγάγετε τον κωδικό σας σε ψεύτικη σελίδα, μπορεί να αποκτήσει πρόσβαση στον λογαριασμό επιβράβευσης ή κρατήσεών σας. Επειδή τα μηνύματα αναφέρουν πραγματικές λεπτομέρειες ταξιδιού, φαίνονται πιο αξιόπιστα από γενικά ανεπιθύμητα μηνύματα.

Παρόμοια έκθεση μέσω προμηθευτή έχει πλήξει και άλλους οργανισμούς στη Σιγκαπούρη. Η παραβίαση του δοκιμαστικού συστήματος της IBM που εξέθεσε 70.000 αρχεία SLA είναι μια άλλη περίπτωση όπου δεδομένα εκτέθηκαν μέσω περιβάλλοντος τρίτου μέρους και όχι από την κύρια είσοδο του ίδιου του οργανισμού.

Μειώνοντας τα προσωπικά δεδομένα που μοιράζεστε με ταξιδιωτικούς προμηθευτές

Δεν μπορείτε να ελέγξετε την ασφάλεια ενός προμηθευτή, αλλά μπορείτε να περιορίσετε το τι είναι διαθέσιμο προς απώλεια.

  • Μοιραστείτε μόνο ό,τι απαιτείται. Παραλείψτε προαιρετικά πεδία όπως πρόσθετους αριθμούς τηλεφώνου, διευθύνσεις κατοικίας ή στοιχεία εγγράφων, εκτός εάν μια κράτηση τα χρειάζεται πραγματικά.
  • Χρησιμοποιήστε μια αποκλειστική διεύθυνση email για ταξίδια. Μια ξεχωριστή διεύθυνση κάνει τα ύποπτα μηνύματα ευκολότερα αναγνωρίσιμα και περιορίζει τη ζημιά αν διαρρεύσει.
  • Αποφύγετε τη σύνδεση υπερβολικά πολλών υπηρεσιών. Λιγότεροι συνδεδεμένοι λογαριασμοί σημαίνουν λιγότερες διαδρομές για έναν επιτιθέμενο.
  • Διατηρήστε τακτοποιημένες τις επιβεβαιώσεις κρατήσεων. Διαγράψτε παλιές επιβεβαιώσεις που δεν χρειάζεστε πλέον.
  • Ενεργοποιήστε ισχυρή προστασία σύνδεσης. Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων μέσω εφαρμογής ή υλικού όπου προσφέρεται.

Αυτή είναι η ίδια αρχή πίσω από άλλα πρόσφατα περιστατικά, όπως η παραβίαση δεδομένων της Alliance Medinet που έπληξε 110.000 μέλη: όσο λιγότερες ευαίσθητες λεπτομέρειες κρατά μια υπηρεσία για εσάς, τόσο λιγότερα υπάρχουν προς έκθεση.

Τι σημαίνει αυτό για εσάς

Αν έχετε πετάξει με τη Singapore Airlines ή άλλον αερομεταφορέα πρόσφατα, θεωρήστε ότι τα στοιχεία της κράτησής σας μπορεί να είναι σε κίνδυνο και ενεργήστε αναλόγως. Δεν χρειάζεται να πανικοβληθείτε, αλλά θα πρέπει να αλλάξετε τον τρόπο που χειρίζεστε τα ταξιδιωτικά μηνύματα. Αντιμετωπίστε απρόσμενα email, μηνύματα ή κλήσεις σχετικά με κρατήσεις, επιστροφές χρημάτων ή check-in ως ύποπτα μέχρι να επαληθευτούν.

Η ασφαλέστερη συνήθεια είναι να αγνοείτε τους συνδέσμους στο μήνυμα και να πηγαίνετε απευθείας στην επίσημη εφαρμογή ή ιστοσελίδα της αεροπορικής εταιρείας, πληκτρολογώντας την μόνοι σας. Ελέγξτε την κράτησή σας εκεί. Αν δεν εμφανίζεται κάποιο πρόβλημα, το μήνυμα πιθανότατα δεν ήταν γνήσιο. Μην μοιράζεστε ποτέ κωδικούς μίας χρήσης με οποιονδήποτε επικοινωνεί πρώτος μαζί σας.

Βασικά συμπεράσματα

Η παραβίαση δεδομένων της Singapore Airlines δείχνει πώς μια μεμονωμένη αστοχία προμηθευτή μπορεί να έχει αντίκτυπο σε ολόκληρο τον κλάδο, με περισσότερες από 200.000 κρατήσεις να αναφέρονται πλέον ως παραβιασμένες. Σταματήστε πριν ενεργήσετε σε οποιοδήποτε απρόσμενο μήνυμα για κράτηση, επιστροφή χρημάτων ή check-in, επαληθεύστε μέσω επίσημων καναλιών και μοιράζεστε λιγότερα προσωπικά δεδομένα με ταξιδιωτικούς προμηθευτές εξαρχής. Για να κατανοήσετε πώς ξεκίνησε το περιστατικό του προμηθευτή, διαβάστε την προηγούμενη αναφορά μας για την παραβίαση της Amadeus και τα αρχεία κρατήσεων της SIA.