En nylig rapportert flydatalekkasje har eksponert anslagsvis 220 millioner passasjerposter, ifølge en bulletin fra cybersikkerhetsselskapet CyPro. Det eksponerte datasettet skal ha inkludert kontaktinformasjon, flyruter og passinformasjon, en kombinasjon av personopplysninger som sikkerhetseksperter anser som spesielt verdifull for identitetstyver og svindeloperatører.

Selv om datalekkasjer i fly- og reiselivssektoren ikke er nye, skiller omfanget av denne hendelsen seg ut. Passnumre og reiserutedetaljer er sjelden samlet i dette volumet, og eksponeringen reiser spørsmål om hvordan flyselskaper og databehandlere i reiselivet sikrer systemene som håndterer sensitiv passasjerinformasjon.

Hva skjedde i flydatalekkasjen

Ifølge rapporten involverte lekkasjen passasjerposter knyttet til et Advance Passenger Information System (APIS), den typen database som flyselskaper og grensemyndigheter bruker til å samle inn og dele passasjerdetaljer før internasjonale flyvninger. Avansert passasjerinformasjon inkluderer typisk fullt navn, fødselsdato, passnummer, nasjonalitet og reiseruter, alle datapunkter som kreves for innvandrings- og sikkerhetskontroll før avreise.

En separat undersøkelse av en APIS-lekkasje knyttet til Vietnam fant at en ubeskyttet Elasticsearch-database, som lå eksponert uten tilstrekkelige tilgangskontroller, inneholdt omtrent 220 millioner passasjerposter. Elasticsearch-databaser brukes ofte til å lagre og raskt søke i store mengder strukturerte data, men når de er feilkonfigurert, kan de være tilgjengelige for alle som finner dem på nettet, uten hacking. For en nærmere titt på hvordan den spesifikke hendelsen utspilte seg, bryter vår tidligere dekning av 220 millioner passasjerposter eksponert i Vietnam APIS-lekkasjen ned de tekniske detaljene.

Overlappen i tall og datatyper mellom denne flydataleksrapporten og Vietnam APIS-lekkasjen antyder at de kan beskrive samme underliggende eksponering, eller i det minste et svært lignende sviktmønster: sensitiv reisedata lagret i et system som ikke var ordentlig sikret.

Hvorfor pass- og reiserutedata er så verdifullt for kriminelle

De fleste forbrukerdatalekkasjer involverer e-postadresser, passord eller betalingskortnumre, som alle kan endres relativt enkelt når de er kompromittert. Passnumre er annerledes. De er knyttet til et offentlig utstedt identitetsdokument som ikke raskt eller billig kan erstattes, og de forblir gyldige i flere år.

Når passdata kombineres med kontaktinformasjon og reiseruter, som rapportert i denne flydatalekkasjen, endres risikoprofilen betydelig. Svindlere kan bruke denne kombinasjonen til å:

  • Bygge overbevisende phishing-meldinger som refererer til ekte kommende flyvninger eller reiseplaner
  • Forsøke identitetsverifiseringssvindel med finansinstitusjoner eller offentlige tjenester
  • Selge sammensatte passasjerprofiler på ulovlige markedsplasser, der mer komplette poster krever høyere priser
  • Målrette reisende med svindeloppringninger eller tekstmeldinger tidsbestemt rundt deres faktiske avreisingsdatoer

Dette er hva som skiller en lekkasje som denne fra en rutinemessig passordlekkasje: dataene utløper ikke, og de kan bli brukt på måter som er vanskeligere for gjennomsnittspersonen å oppdage eller forhindre.

Hva dette betyr for deg

Hvis du har fløyet internasjonalt de siste årene, spesielt gjennom ruter knyttet til de berørte systemene, er det en sjanse for at noe av reisedataen din var inkludert i denne eksponeringen. Dessverre har individuelle reisende generelt begrenset innsikt i om deres spesifikke poster var en del av en slik lekkasje, siden flyselskaper og tredjepartssystemene de er avhengige av ikke alltid sender direkte, umiddelbare varsler.

Det sagt, den praktiske responsen på en flydatalekkasje som involverer pass- og reiseinformasjon er lik uansett om du kan bekrefte din egen eksponering. Passnumre kan ikke tilbakestilles på samme måte som et passord, så prioriteringen flyttes til overvåkning og årvåkenhet snarere enn utbedring av selve dokumentet.

Vær spesielt forsiktig med uoppfordrede meldinger som refererer til flydetaljer, bookingbekreftelser eller reiseruter du ikke har tatt kontakt om. Svindlere som utnytter lekket reisedata, stoler ofte på utseendet av legitimitet som kommer fra å kjenne ekte detaljer om reisene dine.

Konkrete tiltak

Gitt omfanget av denne flydatalekkasjen, bør reisende vurdere noen konkrete skritt. For det første, overvåk e-posten og telefonen din for uventede meldinger som refererer til flyvninger, bookinger eller reiseplanendringer, og verifiser alt som virker mistenkelig direkte gjennom flyselskapets offisielle kanaler i stedet for å klikke på innebygde lenker. For det andre, hold et godt øye med identitetsovervåkningstjenestene eller kredittrapportene dine hvis du har dem, siden passdata kombinert med andre personlige detaljer noen ganger kan brukes i bredere identitetssvindelforsøk. For det tredje, vær skeptisk til enhver kommunikasjon som ber deg bekrefte passdetaljer, selv om den refererer til nøyaktig reiseinformasjon, siden den nøyaktigheten ganske enkelt kan gjenspeile data fra denne eksponeringen snarere enn legitim kontakt fra et flyselskap.

Lekkasjer som involverer offentlig utstedte identitetsdokumenter fortjener mer forsiktighet enn typiske datalekkasjer, nettopp fordi den eksponerte informasjonen ikke utløper. Å være årvåken på hvordan reisedataene dine kan bli brukt, og behandle uoppfordret kontakt med skepsis, forblir det mest praktiske forsvaret mens det fulle omfanget av denne flydatalekkasjen fortsetter å bli vurdert.