Masovno otkrivanje podataka o putovnicama i letovima
Sigurnosni istraživač otkrio je nezaštićenu Elasticsearch bazu podataka koja sadrži 220 milijuna putničkih zapisa povezanih s vijetnamskim sustavom unaprijednih informacija o putnicima (APIS). Otkriveni podaci navodno su uključivali podatke o putovnicama i informacije o letovima – vrstu osjetljivih osobnih zapisa koje vlade i zrakoplovne tvrtke prikupljaju kako bi procijenile putnike prije nego što prijeđu granice. Baza podataka bila je javno dostupna zbog pogrešne sigurnosne konfiguracije, a ne ciljanog hakerskog napada te je sanirana 8. lipnja.
Iako točan broj pogođenih pojedinaca s obzirom na preklapajuće zapise nije u potpunosti jasan, 220 milijuna unosa predstavlja jedno od najvećih otkrivanja putničkih podataka zabilježenih ove godine. APIS baze podataka koriste imigracijska i granična tijela diljem svijeta za prethodnu provjeru putnika, što znači da su informacije pohranjene u njima često vrlo osjetljive: puna imena, brojevi putovnica, državljanstvo, datumi rođenja i planovi putovanja.
Zašto pogrešno konfigurirane baze podataka i dalje uzrokuju curenja podataka
Ovaj incident uklapa se u obrazac koji je postao zabrinjavajuće uobičajen u kibernetičkoj sigurnosti: masivni skupovi podataka otkriveni ne zato što su napadači probili sofisticiranu obranu, već zato što je netko ostavio bazu podataka otvorenom na javnom internetu bez autentifikacije. Elasticsearch, tehnologija iza otkrivene APIS baze podataka, moćan je alat za brzo pretraživanje i analizu velikih količina podataka. No, kada se implementira bez odgovarajućih kontrola pristupa, postaje otvorena vrata za svakoga tko zna gdje tražiti.
Ova curenja uzrokovana pogrešnom konfiguracijom posebno su frustrirajuća jer su u potpunosti spriječiva. Za razliku od iskorištavanja nultog dana ili sofisticirane phishing kampanje, otkrivena baza podataka bez zahtjeva za lozinku osnovni je propust. Ipak, ovakvi se incidenti nastavljaju događati u raznim industrijama, od zdravstva preko putovanja do financija, jer organizacije često brzo implementiraju sustave bez uključivanja sigurnosne revizije kao standardnog koraka.
Putnički sektor posebno je privlačan onima koji skeniraju otkrivene podatke jer APIS zapisi kombiniraju identifikacijske dokumente s obrascima putovanja. Ta kombinacija može biti vrijedna za krađu identiteta, prijevare u putovanjima ili nadzor u mjeri koja daleko nadmašuje ono što bi sam ukradeni broj kreditne kartice mogao ponuditi.
Šira slika privatnosti
Curenja poput ovog pokreću šire pitanje: koliko osjetljivih osobnih podataka vlade i privatne tvrtke prikupljaju u centraliziranim sustavima i koliko su ti podaci zapravo dobro zaštićeni? APIS sustavi postoje u legitimne sigurnosne svrhe, pomažući graničnim agencijama da označe potencijalne prijetnje prije dolaska putnika. No ista centralizacija koja te sustave čini korisnima za provjeru također ih čini metama visoke vrijednosti i rizičnim jedinstvenim točkama kvara.
Ova napetost odražava zabrinutosti iznesene u drugim raspravama o prikupljanju podataka. Na primjer, zakoni o provjeri godina grade globalnu nadzornu mrežu koja zahtijeva od korisnika da predaju identifikacijske dokumente za pristup online sadržaju, stvarajući nove centralizirane repozitorije osjetljivih osobnih podataka koji bi mogli postati mete budućih curenja. Bilo da se radi o vladinom graničnom sustavu ili web stranici koja provjerava dob korisnika, temeljna lekcija je ista: svaka nova baza podataka s identifikacijskim dokumentima još je jedna potencijalna izloženost koja čeka da se dogodi ako sigurnosne prakse ne prate prikupljanje podataka.
Što to znači za vas
Ako ste putovali u inozemstvo i prošli imigracijsku provjeru u posljednjih nekoliko godina, postoji mogućnost da su vaši podaci o putovnici i letu bili pohranjeni u sustavu poput ovog koji je ovdje otkriven. Nažalost, pojedinačni putnici imaju malo izravne kontrole nad time jesu li vladini ili zrakoplovni sustavi sigurno konfigurirani. Ta odgovornost pada na organizacije koje upravljaju podacima.
Ono što možete učiniti jest ostati oprezni. Brojevi putovnica i povijest putovanja, kada se kombiniraju s drugim otkrivenim osobnim informacijama, mogu se koristiti za izradu detaljnih profila za prijevare ili krađu identiteta. Ako primite neočekivane komunikacije koje se odnose na nedavna putovanja, budite oprezni s kliktanjem poveznica ili dijeljenjem dodatnih podataka za provjeru. Praćenje vašeg identiteta za neuobičajene aktivnosti, posebno vezane uz rezervacije putovanja ili zahtjeve za vize, razumna je mjera opreza nakon bilo kakvog velikog otkrivanja ove vrste.
Ključni zaključci
Ovo otkrivanje 220 milijuna zapisa podsjetnik je da osjetljivi putni podaci ne zahtijevaju sofisticiranog napadača da bi iscurili – dovoljna je pogrešno konfigurirana baza podataka i internetska veza. Kao putnik, ne možete revidirati svaki sustav koji dolazi u dodir s vašim podacima o putovnici, ali možete ograničiti nepotrebno dijeljenje osobnih dokumenata, koristiti jake i jedinstvene lozinke za račune povezane s putovanjima te biti skeptični prema neželjenim porukama koje se odnose na vašu povijest putovanja. Za organizacije koje rukuju ovom vrstom podataka, ovaj incident naglašava jednostavnu istinu: proaktivne sigurnosne revizije konfiguracije daleko su jeftinije od posljedica javnog curenja podataka.
