Breșa de Date Reqrea la Check-In Hotelier Expune Peste 1 Milion de Pașapoarte
Un bucket de stocare în cloud configurat greșit, aparținând Reqrea, o companie japoneză de tehnologie pentru ospitalitate, a lăsat mai mult de un milion de documente de identitate expuse online, posibil timp de mai mulți ani. Pașapoarte, permise de conducere și fotografii de verificare facială erau toate accesibile fără autentificare, într-un incident pe care cercetătorii în securitate îl numesc una dintre cele mai semnificative breșe de date de identitate la check-in hotelier din sectorul ospitalității din Asia-Pacific. Datele sunt acum securizate, însă fereastra de expunere se întinde cel puțin până în 2020, ridicând întrebări serioase despre cât timp călătorii afectați au fost expuși riscului fără să știe.
Ce a Expus Reqrea și Cine Este în Pericol
Reqrea furnizează infrastructură digitală de check-in hotelurilor și operatorilor de cazare pe termen scurt. La fel ca mulți furnizori moderni de tehnologie pentru ospitalitate, platforma sa gestionează verificarea identității ca parte a procesului de înregistrare a oaspeților, capturând acte de identitate guvernamentale scanate și fotografii biometrice pentru a confirma identitatea unui oaspete înainte sau la sosire.
Bucket-ul de stocare în cloud expus conținea peste un milion de înregistrări, inclusiv scanări complete ale pașapoartelor, imagini ale permiselor de conducere și fotografii faciale utilizate pentru verificarea identității. Natura datelor sugerează că breșa afectează călătorii internaționali care au stat la proprietăți ce foloseau sistemul Reqrea, acoperind potențial mai multe țări și naționalități. Un cercetător în securitate a descoperit configurarea greșită și a raportat-o, determinând Reqrea să securizeze bucket-ul. Niciun acces neautorizat nu a fost confirmat public, dar având în vedere fereastra de expunere de mai mulți ani, această posibilitate nu poate fi exclusă.
Cum Devin Furnizorii de Tehnologie pentru Ospitalitate o Verigă Slabă pentru Călători
Când oaspeții predau un pașaport la check-in-ul hotelului, de obicei presupun că acel document va fi gestionat și eliminat în mod responsabil. Ceea ce mulți călători nu realizează este că hotelul în sine nu gestionează adesea acele date în mod direct. În schimb, acestea trec prin furnizori terți de tehnologie, precum Reqrea, care alimentează infrastructura digitală din spatele recepțiilor și al chioșcurilor de autoservire.
Aceasta creează o problemă de responsabilitate pe mai multe niveluri. Hotelurile sunt supuse legilor locale de protecție a datelor și reglementărilor din domeniul ospitalității, dar furnizorii pe care îi folosesc pot opera sub jurisdicții diferite sau pot aplica standarde de securitate inconsistente. Un bucket cloud configurat greșit — una dintre cele mai frecvente și mai ușor de prevenit metode de expunere a datelor — este o eroare de infrastructură de bază pe care un program de securitate matur ar trebui să o identifice înainte de lansare, cu atât mai puțin să o lase să persiste ani de zile.
Acesta nu este un incident izolat. Sectorul ospitalității a devenit o țintă repetată și o sursă de incidente de date din cauza volumului mare de informații personale sensibile care circulă prin sistemele sale. O breșă separată care a afectat oaspeții hotelurilor din mai multe țări a expus cinci milioane de persoane prin platforme de management hotelier compromise, ilustrând cât de interconectat și vulnerabil a devenit acest ecosistem.
De Ce Datele Biometrice și Documentele de Identitate Sunt Deosebit de Periculoase Când Sunt Scurse
Nu toate breșele de date au consecințe egale. O adresă de e-mail scursă poate fi recuperată. Un pașaport scurs nu poate fi.
Documentele de identitate emise de guvern sunt utilizate ca acreditive de bază pentru verificarea identității în sistemele bancare, de imigrație, de angajare și juridice. Odată ce o scanare de pașaport de înaltă rezoluție ajunge în mâinile unui actor rău intenționat, aceasta poate fi folosită pentru a deschide conturi financiare frauduloase, pentru a crea identități sintetice sau pentru a eluda verificările de identitate care se bazează pe imagini ale documentelor, mai degrabă decât pe inspecția fizică.
Fotografiile de verificare facială amplifică acest risc. Datele biometrice sunt utilizate din ce în ce mai mult în sistemele de autentificare și, spre deosebire de o parolă, o față nu poate fi schimbată. Combinația dintre o scanare de pașaport și o fotografie facială corespunzătoare oferă aproape tot ce este necesar pentru a uzurpa identitatea cuiva atât în contexte digitale, cât și fizice.
Victimele acestui tip de breșă pot să nu experimenteze prejudicii imediate. Frauda de identitate construită pe documente guvernamentale furate apare adesea la luni sau ani distanță, făcând dificilă urmărirea până la un incident specific și mai greu de remediat.
Cum Pot Călătorii Să Își Limiteze Expunerea Când Hotelurile Cer Acte de Identitate
Călătorii au o putere de negociere limitată atunci când un hotel solicită verificarea identității pentru check-in, dar există pași practici care reduc expunerea pe termen lung.
În primul rând, puneți întrebări înainte de a preda documentele. Proprietățile sunt adesea obligate prin lege locală să înregistreze informațiile de identitate ale oaspeților, dar metoda de stocare nu este întotdeauna impusă. Întrebarea dacă scanările digitale sunt păstrate după check-in și pentru cât timp este o solicitare rezonabilă la care un operator responsabil ar trebui să poată răspunde.
În al doilea rând, preferați prezentarea fizică a documentelor în locul încărcărilor digitale, acolo unde este posibil. Dacă aplicația unui hotel vă solicită să încărcați o fotografie a pașaportului înainte de sosire, luați în considerare dacă acel pas este obligatoriu prin lege sau pur și simplu o funcție de comoditate. Mai puține copii digitale înseamnă mai puține puncte de expunere.
În al treilea rând, monitorizați-vă identitatea în mod proactiv după sejururi la proprietăți care utilizează sisteme de check-in terțe. Dacă pașaportul sau permisul de conducere vă-au fost scanate de un furnizor ale cărui practici de securitate nu le puteți verifica, verificările periodice pentru semne de fraudă de identitate sunt utile, în special înainte de reînnoirea produselor financiare sau de aplicarea pentru orice necesită verificarea identității.
În cele din urmă, fiți la curent cu divulgările de breșe din sectorul ospitalității. Hotelurile și furnizorii lor nu sunt întotdeauna promți în notificarea oaspeților afectați, iar știrile despre breșe apar adesea prin cercetători în securitate înainte ca comunicările oficiale să fie transmise.
Ce Înseamnă Aceasta pentru Dumneavoastră
Expunerea Reqrea este un memento că riscul breșelor de date de identitate la check-in hotelier nu este ipotetic. De fiecare dată când predați un act de identitate guvernamental unui operator din domeniul ospitalității, acel document intră într-un flux de date în care nu aveți vizibilitate și niciun control. Problema este structurală: industria ospitalității colectează date de identitate extrem de sensibile la scară largă, le distribuie printre furnizori de tehnologie și a aplicat istoric o supraveghere de securitate inconsistentă.
Dacă sunteți un călător frecvent, în special unul care a folosit sisteme de check-in automatizate sau bazate pe aplicații la hoteluri din Japonia sau alte piețe în care Reqrea operează, merită să monitorizați înregistrările de credit și de identitate pentru activități neobișnuite. Pentru un context mai larg despre cum s-au desfășurat aceste incidente în sectorul ospitalității, acoperirea breșelor de date ale oaspeților hotelurilor care afectează milioane de călători oferă un fundal util privind amploarea și tiparul acestor vulnerabilități.
Cereți mai mult de la companiile cărora le încredințați documentele dumneavoastră cele mai sensibile. Și când călătoriți, întrebați cine vă deține de fapt datele înainte de a le preda.
