Proboj podataka u pružatelju putničkog softvera Amadeus zahvatio je 46.000 rezervacija Singapore Airlinesa (SIA), prema izvješću The Straits Timesa. Izloženi podaci uključuju podatke o kupcima, ali podaci o plaćanju nisu bili dio onoga čemu je pristupljeno. Amadeusov SIA proboj podataka koristan je podsjetnik da vaši osobni podaci mogu biti ugroženi u tvrtki s kojom se nikada niste registrirali.

Izvorno izvješće je kratko, pa se ovaj tekst drži onoga što je potvrđeno i usredotočuje se na ono što putnici razumno mogu učiniti u vezi s tim.

Što je izloženo u Amadeusovom proboju

Prema izvješću, 46.000 SIA rezervacija nezakonito je pristupljeno u incidentu koji je zahvatio Amadeus, pružatelja softvera koji podržava sustave rezervacija zrakoplovnih kompanija. Zapisi su sadržavali podatke o kupcima. Podaci o plaćanju nisu bili izloženi.

Članak ovdje ne navodi koja su točno polja bila uključena, kako su napadači ušli ni tko je bio odgovoran, pa nećemo nagađati. Ako ste rezervirali sa SIA-om, najsigurnija je pretpostavka da bi vrsta podataka koja se obično veže uz rezervaciju, poput vašeg imena i pojedinosti o putovanju, mogla biti uključena dok vam zrakoplovna kompanija ne kaže drugačije. Provjerite sve izravne obavijesti od SIA-e ili Amadeusa jer će one opisati konkretne zahvaćene podatke.

Zašto su sustavi rezervacija trećih strana slaba karika

Većina putnika rezervaciju doživljava kao odnos između sebe i zrakoplovne kompanije. U praksi podaci o rezervacijama često prolaze kroz tehnološke pružatelje koji stoje u pozadini i oni ih pohranjuju. Te dobavljače nikada niste odabrali, nikada niste čitali njihove politike privatnosti i obično ne možete od njih odustati.

To stvara strukturni problem. Zrakoplovna kompanija može mnogo ulagati u vlastitu sigurnost, a slabost kod dobavljača ipak može izložiti njezine kupce. Isti se obrazac pojavljuje u svim industrijama. Naše izvješće o objavama Goldman Sachsa i Man Groupa u proboju podataka EY-a pokazalo je kako se incident kod jednog pružatelja može proširiti i dotaknuti mnoge klijentske organizacije. Isto tako, proboj podataka SafePala koji je izložio gotovo 40.000 kupaca još je jedan primjer kako podaci kupaca postaju ranjivi kroz sustave koji okružuju proizvod, a ne samo kroz sam proizvod.

Za putnike je praktični zaključak da je broj organizacija koje drže vaše podatke veći od broja brendova s kojima poslujete.

Zašto je proboj bez podataka o kartici ipak važan

Primamljivo je opustiti se kada čujete da podaci o plaćanju nisu uzeti. To je dobra vijest jer smanjuje rizik izravne prijevare karticom. No rezervacijski zapisi su kriminalcima ipak vrijedni iz drugog razloga: pružaju kontekst.

Poruka koja spominje vaše stvarno ime i stvarno predstojeće putovanje daleko je uvjerljivija od generičke prijevare. Napadači mogu upotrijebiti takve pojedinosti za izradu phishing e-poruka ili tekstova koji izgledaju kao da dolaze od zrakoplovne kompanije, putničke agencije ili platne usluge, pozivajući vas da "potvrdite" rezervaciju, zatražite povrat ili ažurirate svoje podatke. Osobni podaci također se mogu kombinirati s podacima iz drugih curenja kako bi se izgradio potpuniji profil, što olakšava pokušaj krađe identiteta.

To je tema koja se ponavlja u izvješćivanju o probojima. Čak i kada su najočitije osjetljiva polja pošteđena, procurjeli osobni podaci skloni su kruženju i ponovnoj uporabi. Naše izvješće o Qilinovoj tvrdnji protiv Hawaii Dental Group odnosi se na drugi sektor, ali pouka je slična: kada zapisi napuste kontrolu organizacije, nizvodni rizik traje daleko nakon početnog naslova.

Koraci koje zahvaćeni putnici mogu poduzeti sada

Ne trebate paničariti, ali nekoliko odmjerenih koraka vrijedi:

  • Pazite na službene obavijesti. Ako vas SIA ili Amadeus kontaktiraju, pažljivo pročitajte. Idite na web-stranicu zrakoplovne kompanije tako da sami upišete adresu umjesto da kliknete na poveznice u e-porukama.
  • Neočekivane putne poruke tretirajte sa sumnjom. Budite oprezni s e-porukama ili tekstovima o promijenjenim letovima, povratima, nadogradnjama sjedala ili potvrdama rezervacija koje niste zatražili, čak i ako sadrže točne pojedinosti.
  • Zaštitite svoj račun kod zrakoplovne kompanije. Upotrijebite jedinstvenu, jaku lozinku i uključite dvofaktorsku autentifikaciju ako je dostupna. Ako ste lozinku ponovno upotrijebili negdje drugdje, promijenite je i tamo.
  • Provjerite svoj račun frequent flyer programa. Pregledajte nedavnu aktivnost i povezane kontakt podatke na sve neobično.
  • Nadzirite svoje financijske račune. Iako podaci o plaćanju prema izvješću nisu bili uključeni, redovite provjere razumna su navika nakon svakog proboja.
  • Ograničite što dijelite. Navedite samo pojedinosti koje rezervacija zahtijeva i budite oprezni s dodatnim informacijama koje traže stranice trećih strana.

Što to znači za vas

Ako ste letjeli ili rezervirali sa Singapore Airlinesom, vaši podaci mogu se nalaziti u sustavu koji vodi tvrtka s kojom nikada niste izravno poslovali. Navodna odsutnost podataka o plaćanju umiruje, ali stvarni kratkoročni rizik je ciljani phishing koji koristi stvarne pojedinosti rezervacije kako bi izgledao legitimno. Usporavanje prije klika i provjera svakog zahtjeva putem službenih kanala vaša je najjača obrana.

Općenito, ne možete revidirati svakog dobavljača iza svake usluge koju koristite, ali možete smanjiti štetu kada neki zakaže. Jedinstvene lozinke, dvofaktorska autentifikacija i zdrava sumnjičavost prema neželjenim porukama mnogo pomažu.

Ključni zaključci

Amadeusov SIA proboj podataka zahvatio je 46.000 rezervacija i, prema izvješću, nije uključivao podatke o plaćanju. Danas pregledajte sigurnost svog računa kod zrakoplovne kompanije, ostanite na oprezu prema phishingu koji spominje vaše putne planove i provjerite sve neočekivano putem službenih kanala. Za više o tome kako se odvija izloženost trećih strana, pročitajte naše izvješće o proboju podataka EY-a i njegovim imenovanim žrtvama i proboju SafePala.