Singapore Airlines-datalekkasje omfatter over 200 000 bestillinger på tvers av bransjen

Singapore Airlines Ltd. har blitt det nyeste flyselskapet som er rammet av et datalekkasje hos en av sine viktigste programvareleverandører, ifølge Bloomberg. Rapporten sier at antallet bestillinger som er kompromittert på tvers av bransjen av hackingen nå overstiger 200 000. Datalekkasjen hos Singapore Airlines er en påminnelse om at reisedataene dine ofte ligger hos selskaper du aldri selv har valgt.

Hvordan leverandørlekkasjen nådde Singapore Airlines

Hendelsen startet ikke inne i flyselskapet. Bloomberg beskriver det som et datalekkasje hos en av Singapore Airlines' viktigste programvareleverandører, og Singapore Airlines er det nyeste flyselskapet som er blitt trukket inn i den. Det bransjeomfattende totaltallet på over 200 000 kompromitterte bestillinger gjenspeiler hvor mange flyselskaper som er avhengige av de samme systemene.

Det er kjernelærdommen. Flyselskaper setter ut reservasjoner, innsjekking og andre funksjoner til spesialistleverandører. Når én leverandør kompromitteres, kan eksponeringen spre seg til hvert flyselskap som bruker den, selv om hvert enkelt flyselskaps eget nettverk aldri ble berørt.

For bakgrunn om den tidligere fasen av denne saken forklarer vår dekning av hvordan Amadeus-lekkasjen eksponerte 46 000 SIA-bestillingsposter hvordan leverandørhendelsen først dukket opp for Singapore Airlines. Bloomberg-rapporten utvider bildet fra ett flyselskap til hele sektoren.

Hvilke bestillingsdata kan være eksponert

Bloomberg-sammendraget lister ikke nøyaktig hvilke felt som ble tatt, og vi vil ikke gjette. Reisebestillingsposter inneholder vanligvis den typen detaljer som den foreslåtte vinklingen for denne saken peker på: reisendes navn, kontaktopplysninger og reiseruter. Flyselskaper og den berørte leverandøren er best posisjonert til å bekrefte nøyaktig hva som var involvert i en enkelt sak.

Selv uten betalingsdata har disse feltene reell verdi. Et navn kombinert med en e-postadresse, et telefonnummer og en flydato gir noen nok kontekst til å skrive en overbevisende melding. Reiseruter er spesielt nyttige fordi de viser hvor du vil være og når.

Phishing- og kontoovertakelsesrisiko etter et reisedatalekkasje

Den viktigste praktiske risikoen ved et slikt datalekkasje er målrettet bedrag. En svindler som kjenner bestillingsdetaljene dine, kan utgi seg for å være flyselskapet og sende en melding som ser rutinemessig ut:

• Et varsel om at flyet ditt er endret, og at du må «bekrefte» bestillingen din.
• Et tilbud om refusjon som ber om kortopplysninger.
• En innsjekkingspåminnelse med en lenke til en falsk innloggingsside.
• En samtale eller tekstmelding som hevder å være kundeservice og ber om en bekreftelseskode.

Det siste punktet er viktig for kontoovertakelse. Hvis en svindler får deg til å lese opp en engangskode eller skrive inn passordet ditt på en falsk side, kan de få tilgang til lojalitets- eller bestillingskontoen din. Fordi meldingene nevner reelle reisedetaljer, føles de mer pålitelige enn generisk spam.

Lignende leverandørdrevet eksponering har rammet andre singaporske organisasjoner. IBM-testystemlekkasjen som eksponerte 70 000 SLA-poster er et annet tilfelle der data ble eksponert gjennom et tredjepartsmiljø i stedet for organisasjonens egen inngangsdør.

Reduser personopplysningene du deler med reiseleverandører

Du kan ikke kontrollere en leverandørs sikkerhet, men du kan begrense hva som er tilgjengelig å miste.

• Del bare det som er nødvendig. Hopp over valgfrie felt som ekstra telefonnumre, hjemadresser eller dokumentdetaljer med mindre en bestilling virkelig trenger dem.
• Bruk en dedikert e-postadresse for reiser. En separat adresse gjør mistenkelige meldinger lettere å oppdage og begrenser skaden hvis den lekker.
• Unngå å koble til for mange tjenester. Færre tilkoblede kontoer betyr færre veier for en angriper.
• Hold bestillingsbekreftelser ryddige. Slett gamle bekreftelser du ikke lenger trenger.
• Slå på sterk innloggingsbeskyttelse. Bruk unike passord og appbasert eller maskinvarebasert tofaktorautentisering der det tilbys.

Dette er det samme prinsippet bak andre nylige hendelser, som Alliance Medinet-datalekkasjen som rammet 110 000 medlemmer: jo mindre sensitive detaljer en tjeneste har om deg, jo mindre er det å eksponere.

Hva dette betyr for deg

Hvis du nylig har fløyet med Singapore Airlines eller et annet flyselskap, bør du anta at bestillingsdetaljene dine kan være i spill og handle deretter. Du trenger ikke å få panikk, men du bør endre hvordan du håndterer reisemeldinger. Behandle uventede e-poster, tekstmeldinger eller samtaler om bestillinger, refusjoner eller innsjekking som mistenkelige til de er verifisert.

Den tryggeste vanen er å ignorere lenker i meldingen og gå direkte til flyselskapets offisielle app eller nettsted, skrevet inn selv. Sjekk bestillingen din der. Hvis det ikke er oppført noe problem, var meldingen sannsynligvis ikke ekte. Del aldri engangskoder med noen som kontakter deg først.

Viktige punkter

Datalekkasjen hos Singapore Airlines viser hvordan én leverandørsvikt kan forplante seg gjennom en hel bransje, med over 200 000 bestillinger nå rapportert som kompromittert. Stopp opp før du handler på en uventet bestillings-, refusjons- eller innsjekkingsmelding, verifiser gjennom offisielle kanaler, og del mindre personopplysninger med reiseleverandører i utgangspunktet. For å forstå hvordan leverandørhendelsen begynte, les vår tidligere rapport om Amadeus-lekkasjen og SIA-bestillingsposter.