Reqrean hotellin sisäänkirjautumistietovuoto paljasti yli miljoona passia
Japanilaisen majoitusteknologiayrityksen Reqrean väärin konfiguroitu pilvitallennusämpäri jätti yli miljoona henkilöllisyysasiakirjaa julkisesti saataville verkossa mahdollisesti vuosien ajaksi. Passit, ajokorttikuvat ja kasvontunnistuskuvat olivat kaikki saavutettavissa ilman tunnistautumista – tietoturvatutkijat kutsuvat tapausta yhdeksi merkittävimmistä Aasia-Tyynenmeren majoitussektorilla ilmenneistä hotellin sisäänkirjautumiseen liittyvistä henkilöllisyystietovuodoista. Tiedot on nyt suojattu, mutta altistumisjakso ulottuu ainakin vuoteen 2020, mikä herättää vakavia kysymyksiä siitä, kuinka kauan matkustajat olivat tietämättään vaarassa.
Mitä Reqrea paljasti ja keitä asia koskee
Reqrea tarjoaa digitaalista sisäänkirjautumisinfrastruktuuria hotelleille ja lyhytaikaista majoitusta tarjoaville operaattoreille. Kuten monet modernit majoitusteknologiatoimittajat, sen alusta käsittelee henkilöllisyyden varmistamista osana vieraan perehdytysprosessia – tallentaen skannatut viranomaisasiakirjat ja biometriset kuvat vieraan henkilöllisyyden vahvistamiseksi ennen saapumista tai saapumishetkellä.
Altistunut pilvitallennusämpäri sisälsi yli miljoona tietuetta, mukaan lukien täydet passiskanit, ajokorttikuvat ja kasvojentunnistukseen käytetyt kasvokuvat. Tietojen luonne viittaa siihen, että tietovuoto koskee kansainvälisiä matkustajia, jotka ovat yöpyneet Reqrean järjestelmää käyttävissä kohteissa, potentiaalisesti useissa maissa ja kansallisuuksien välillä. Tietoturvatutkija löysi väärinkonfiguraation ja ilmoitti siitä, minkä seurauksena Reqrea suojasi ämpärin. Hyökkääjien pääsyä ei ole julkisesti vahvistettu, mutta usean vuoden altistumisajan vuoksi tätä mahdollisuutta ei voida sulkea pois.
Miten majoitusteknologiatoimittajat muodostuvat matkustajien heikoksi lenkiksi
Kun vieraat luovuttavat passinsa hotellin sisäänkirjautumisen yhteydessä, he yleensä olettavat, että asiakirja käsitellään ja hävitetään vastuullisesti. Monet matkustajat eivät kuitenkaan tiedä, että hotelli itse ei usein hallinnoi kyseisiä tietoja suoraan. Sen sijaan ne kulkevat kolmannen osapuolen teknologiatoimittajien, kuten Reqrean, kautta, jotka ylläpitävät digitaalista infrastruktuuria vastaanottotiskeillä ja itsepalvelukioskeissa.
Tämä luo monitasoisen vastuuongelman. Hotellit ovat sidottuja paikallisiin tietosuojalakeihin ja majoitusmääräyksiin, mutta niiden käyttämät toimittajat saattavat toimia eri lainkäyttöalueilla tai soveltaa epäjohdonmukaisia tietoturvastandardeja. Väärin konfiguroitu pilvitallennusämpäri – yksi yleisimmistä ja ehkäistävissä olevista tietojen altistumistavoista – on perustavanlaatuinen infrastruktuurivirhe, jonka kypsän tietoturvaohjelman pitäisi havaita ennen käyttöönottoa, puhumattakaan siitä, että se sallittaisiin jatkua vuosien ajan.
Tämä ei ole yksittäistapaus. Majoitussektorista on tullut toistuvasti sekä kohde että tietovuotojen lähde, koska sen järjestelmien kautta kulkee suuria määriä arkaluonteisia henkilötietoja. Erillinen tietovuoto, joka koski hotellivieraita useissa maissa, paljasti viisi miljoonaa ihmistä vaarantuneiden majoituksenhallinta-alustojen kautta, mikä havainnollistaa, kuinka toisiinsa kytkeytynyt ja haavoittuvainen tämä ekosysteemi on.
Miksi biometristen tietojen ja asiakirjatietojen vuotaminen on erityisen vaarallista
Kaikilla tietovuodoilla ei ole yhtäläisiä seurauksia. Vuotanut sähköpostiosoite on korvattavissa. Vuotanut passi ei ole.
Viranomaisten myöntämiä henkilöllisyysasiakirjoja käytetään juuritunnistetietoina henkilöllisyyden varmistamiseen pankkitoiminnassa, maahanmuutossa, työllistymisessä ja oikeudellisissa järjestelmissä. Kun pahansuopa toimija saa hallussaan korkearesoluutioisen passiskanin, sitä voidaan käyttää vilpillisten rahoitustilien avaamiseen, synteettisten henkilöllisyyksien luomiseen tai sellaisten henkilöllisyystarkistusten ohittamiseen, jotka perustuvat asiakirjakuviin fyysisen tarkastuksen sijaan.
Kasvojentunnistuskuvat lisäävät tätä riskiä. Biometrisiä tietoja käytetään yhä enemmän tunnistusjärjestelmissä, ja toisin kuin salasana, kasvoja ei voi muuttaa. Passiskanin ja vastaavan kasvokuvan yhdistelmä tarjoaa käytännössä kaiken tarvittavan jonkun tekeytymiseen sekä digitaalisissa että fyysisissä yhteyksissä.
Tämäntyyppisen tietovuodon uhrit eivät välttämättä koe välitöntä haittaa. Varastettuihin viranomaisen myöntämiin asiakirjoihin perustuva henkilöllisyyspetos ilmenee usein kuukausia tai vuosia myöhemmin, mikä tekee sen jäljittämisestä tiettyyn tapahtumaan vaikeaa ja korjaamisesta hankalampaa.
Miten matkustajat voivat rajoittaa altistumistaan, kun hotellit vaativat henkilöllisyystodistuksen
Matkustajilla on rajallinen neuvotteluasema, kun hotelli edellyttää henkilöllisyyden varmentamista sisäänkirjautumisen yhteydessä, mutta on olemassa käytännön toimenpiteitä, jotka vähentävät pitkäaikaista altistumista.
Ensinnäkin kysy kysymyksiä ennen asiakirjojen luovuttamista. Paikalliset lait velvoittavat majoitusliikkeet usein kirjaamaan vieraan henkilöllisyystiedot, mutta tallennustapaa ei aina ole määrätty. On kohtuullista pyytää tietoa siitä, säilytetäänkö digitaaliset skanit sisäänkirjautumisen jälkeen ja kuinka kauan – vastuullisen operaattorin pitäisi pystyä vastaamaan tähän.
Toiseksi suosi fyysistä asiakirjan esittämistä digitaalisten latausten sijaan, jos mahdollista. Jos hotellin sovellus pyytää sinua lataamaan passikuvan ennen saapumista, harkitse, onko kyseinen vaihe laillisesti pakollinen vai pelkkä mukavuusominaisuus. Mitä vähemmän digitaalisia kopioita on olemassa, sitä vähemmän altistumiskohtia.
Kolmanneksi seuraa henkilöllisyyttäsi aktiivisesti yöpymisten jälkeen majoitusliikkeissä, jotka käyttävät kolmannen osapuolen sisäänkirjautumisratkaisuja. Jos passisi tai ajokorttisi on skannattu toimittajan toimesta, jonka tietoturvakäytäntöjä et voi varmentaa, säännölliset tarkistukset henkilöllisyyspetosten merkeistä ovat perusteltuja – erityisesti ennen rahoitustuotteiden uusimista tai sellaisten asioiden hakemista, jotka edellyttävät henkilöllisyyden varmistamista.
Lopuksi pysy ajan tasalla majoitussektorin tietovuotopaljastuksista. Hotellit ja niiden toimittajat eivät aina ilmoita nopeasti asianomaisille vieraille, ja tietovuotouutiset tulevat usein tietoturvatutkijoilta ennen virallisia tiedotteita.
Mitä tämä tarkoittaa sinulle
Reqrean tietovuoto muistuttaa, että hotellin sisäänkirjautumiseen liittyvä henkilöllisyystietovuotoriski ei ole hypoteettinen. Joka kerta kun luovutat viranomaisen myöntämän henkilöllisyystodistuksen majoitusoperaattorille, kyseinen asiakirja siirtyy tietoprosessiin, johon sinulla ei ole näkyvyyttä eikä hallintaa. Ongelma on rakenteellinen: majoitusala kerää laajamittaisesti erittäin arkaluonteisia henkilöllisyystietoja, jakaa ne teknologiatoimittajien kesken ja on historiallisesti soveltanut epäjohdonmukaista tietoturvavalvontaa.
Jos olet aktiivinen matkustaja – erityisesti jos olet käyttänyt automatisoituja tai sovelluspohjaisia sisäänkirjautumisratkaisuja hotelleissa Japanissa tai muilla markkinoilla, joilla Reqrea toimii – on syytä seurata luotto- ja henkilöllisyystietojasi epätavallisen toiminnan varalta. Laajempaa kontekstia varten siitä, miten nämä tapaukset ovat kehittyneet majoitussektorilla, miljoonia matkustajia koskevien hotellivierastietovuotojen uutisointi tarjoaa hyödyllistä taustaa näiden haavoittuvuuksien laajuudesta ja kaavasta.
Vaadi parempaa niiltä yrityksiltä, joille luotat arkaluonteisimmat asiakirjasi. Ja kun matkustat, kysy kuka todella pitää tietojasi hallussaan ennen kuin luovutat ne.
