A Singapore Airlines Ltd. tornou-se a mais recente companhia aérea atingida por uma violação de dados num dos seus principais fornecedores de software, segundo a Bloomberg. O relatório afirma que o número de reservas comprometidas em todo o setor pela invasão ultrapassa agora 200.000. A violação de dados da Singapore Airlines é um lembrete de que os seus dados de viagem ficam frequentemente com empresas que nunca escolheu diretamente.

Como a violação do fornecedor chegou à Singapore Airlines

O incidente não começou dentro da companhia aérea. A Bloomberg descreve-o como uma violação num dos principais fornecedores de software da Singapore Airlines, e a Singapore Airlines é a mais recente companhia aérea apanhada por ele. O total de mais de 200.000 reservas comprometidas em todo o setor reflete quantas companhias aéreas dependem dos mesmos sistemas.

Essa é a lição central. As companhias aéreas externalizam reservas, check-in e outras funções para fornecedores especializados. Quando um fornecedor é comprometido, a exposição pode alastrar-se a todas as companhias aéreas que o utilizam, mesmo que a rede própria de cada companhia nunca tenha sido tocada.

Para contexto sobre a fase anterior desta história, a nossa cobertura sobre como a violação da Amadeus expôs 46.000 registos de reservas da SIA explica como o incidente do fornecedor surgiu pela primeira vez para a Singapore Airlines. O relatório da Bloomberg alarga o quadro de uma companhia para todo o setor.

Que dados de reserva podem estar expostos

O resumo da Bloomberg não lista exatamente quais campos foram obtidos, e não vamos adivinhar. Os registos de reservas de viagem contêm tipicamente o tipo de detalhes que o ângulo sugerido para esta história aponta: nomes dos viajantes, dados de contacto e itinerários. As companhias aéreas e o fornecedor afetado estão melhor posicionados para confirmar com precisão o que esteve envolvido em qualquer caso individual.

Mesmo sem dados de pagamento, esses campos têm valor real. Um nome emparelhado com um endereço de email, um número de telefone e uma data de voo dá a alguém contexto suficiente para escrever uma mensagem convincente. Os itinerários são especialmente úteis porque mostram onde estará e quando.

Riscos de phishing e apropriação de contas após uma violação de viagem

O principal risco prático de uma violação como esta é o engano direcionado. Um burlão que conhece os detalhes da sua reserva pode fazer-se passar pela companhia aérea e enviar uma mensagem que parece rotineira:

  • Um aviso de que o seu voo foi alterado e que deve "confirmar" a sua reserva.
  • Uma oferta de reembolso que pede dados do cartão.
  • Um lembrete de check-in com um link para uma página de login falsa.
  • Uma chamada ou mensagem de texto alegando ser o serviço de apoio ao cliente e pedindo um código de verificação.

O último item é importante para a apropriação de contas. Se um fraudador conseguir que leia um código de uso único ou introduza a sua palavra-passe numa página falsa, pode aceder à sua conta de fidelização ou de reservas. Como as mensagens mencionam detalhes reais da viagem, parecem mais fidedignas do que spam genérico.

Exposição semelhante impulsionada por fornecedores atingiu outras organizações de Singapura. A violação do sistema de teste da IBM que expôs 70.000 registos da SLA é outro caso em que os dados foram expostos através do ambiente de um terceiro, e não pela porta da frente da própria organização.

Reduzir os dados pessoais que partilha com fornecedores de viagem

Não pode controlar a segurança de um fornecedor, mas pode limitar o que está disponível para ser perdido.

  • Partilhe apenas o que é exigido. Ignore campos opcionais como números de telefone adicionais, moradas ou detalhes de documentos, a menos que uma reserva realmente precise deles.
  • Use um endereço de email dedicado para viagens. Um endereço separado torna as mensagens suspeitas mais fáceis de detetar e limita os danos se for divulgado.
  • Evite ligar demasiados serviços. Menos contas ligadas significa menos caminhos para um atacante.
  • Mantenha as confirmações de reserva organizadas. Elimine confirmações antigas de que já não precisa.
  • Ative uma proteção de início de sessão forte. Use palavras-passe únicas e autenticação de dois fatores baseada em aplicação ou em hardware, quando disponível.

Este é o mesmo princípio subjacente a outros incidentes recentes, como a violação de dados da Alliance Medinet que atingiu 110.000 membros: quanto menos detalhes sensíveis um serviço tiver sobre si, menos há para expor.

O que isto significa para si

Se voou recentemente com a Singapore Airlines ou outra companhia aérea, assuma que os detalhes da sua reserva podem estar em jogo e aja em conformidade. Não precisa de entrar em pânico, mas deve mudar a forma como trata as mensagens de viagem. Trate emails, mensagens de texto ou chamadas inesperadas sobre reservas, reembolsos ou check-in como suspeitos até serem verificados.

O hábito mais seguro é ignorar os links na mensagem e ir diretamente à aplicação ou ao site oficial da companhia aérea, escrevendo o endereço você mesmo. Verifique a sua reserva aí. Se não estiver listado nenhum problema, a mensagem provavelmente não era genuína. Nunca partilhe códigos de uso único com quem quer que o contacte primeiro.

Principais conclusões

A violação de dados da Singapore Airlines mostra como a falha de um único fornecedor pode propagar-se por todo um setor, com mais de 200.000 reservas agora reportadas como comprometidas. Faça uma pausa antes de agir sobre qualquer mensagem inesperada de reserva, reembolso ou check-in, verifique através de canais oficiais e partilhe menos dados pessoais com fornecedores de viagem desde o início. Para compreender como o incidente do fornecedor começou, leia o nosso relatório anterior sobre a violação da Amadeus e os registos de reservas da SIA.