Масштабная утечка паспортных и рейсовых данных

Специалист по безопасности обнаружил незащищенную базу данных Elasticsearch, содержащую 220 миллионов записей о путешественниках, связанных с вьетнамской системой предварительной информации о пассажирах (APIS). Сообщается, что раскрытые данные включали паспортные данные и информацию о рейсах — те виды чувствительных персональных записей, которые правительства и авиакомпании собирают для проверки пассажиров перед пересечением границ. База данных оставалась публично доступной из-за ошибки конфигурации безопасности, а не целенаправленного взлома, и была исправлена 8 июня.

Хотя точное количество пострадавших лиц с учетом пересекающихся записей полностью не ясно, 220 миллионов записей представляют собой одну из крупнейших утечек данных о путешественниках, зарегистрированных в этом году. Базы данных APIS используются иммиграционными и пограничными органами по всему миру для предварительной проверки пассажиров, что означает, что хранящаяся в них информация часто является высокочувствительной: полные имена, номера паспортов, гражданство, даты рождения и маршруты поездок.

Почему неправильно настроенные базы данных продолжают вызывать утечки

Этот инцидент вписывается в модель, которая стала тревожно распространенной в кибербезопасности: масштабные наборы данных раскрываются не потому, что злоумышленники прорвались через сложные системы защиты, а потому, что кто-то оставил базу данных открытой для публичного интернета без аутентификации. Elasticsearch, технология, лежащая в основе раскрытой базы данных APIS, является мощным инструментом для быстрого поиска и анализа больших объемов данных. Но при развертывании без надлежащих мер контроля доступа она становится открытой дверью для любого, кто знает, где искать.

Эти утечки, вызванные ошибками конфигурации, особенно неприятны тем, что их полностью можно предотвратить. В отличие от эксплойта нулевого дня или сложной фишинговой кампании, открытая база данных без требования пароля — это элементарный недосмотр. Тем не менее такие инциденты продолжают происходить в разных отраслях — от здравоохранения до туризма и финансов, — потому что организации часто быстро развертывают системы, не включая проверку безопасности в качестве стандартного шага.

Туристический сектор особенно привлекателен для тех, кто сканирует открытые данные, потому что записи APIS сочетают удостоверения личности с моделями поездок. Такое сочетание может быть ценным для кражи личности, мошенничества с поездками или слежки в гораздо большей степени, чем просто украденный номер кредитной карты.

Более широкая картина конфиденциальности

Такие утечки, как эта, поднимают более широкий вопрос: сколько чувствительных персональных данных правительства и частные компании накапливают в централизованных системах, и насколько хорошо эти данные на самом деле защищены? Системы APIS существуют для законных целей безопасности, помогая пограничным органам выявлять потенциальные угрозы до прибытия путешественников. Но та же централизация, которая делает эти системы полезными для проверки, также делает их целями высокой ценности и точками отказа с высоким риском.

Это противоречие отражает опасения, поднятые в других дискуссиях о сборе данных. Например, законы о проверке возраста создают глобальную сеть слежки, которая требует от пользователей предоставлять удостоверения личности для доступа к онлайн-контенту, создавая новые централизованные хранилища чувствительных персональных данных, которые могут стать будущими целями утечек. Будь то государственная пограничная система или веб-сайт, проверяющий возраст пользователя, основной урок одинаков: каждая новая база данных удостоверений личности — это еще одна потенциальная утечка, ожидающая своего часа, если практики безопасности не поспевают за сбором данных.

Что это значит для вас

Если вы путешествовали за границу и проходили иммиграционный контроль за последние несколько лет, есть вероятность, что ваши паспортные данные и информация о рейсах хранились в системе, подобной той, что была раскрыта здесь. К сожалению, отдельные путешественники имеют мало прямого контроля над тем, настроены ли правительственные или авиационные системы безопасно. Эта ответственность лежит на организациях, управляющих данными.

Что вы можете сделать, так это сохранять бдительность. Номера паспортов и история поездок в сочетании с другими утекшими персональными данными могут быть использованы для создания подробных профилей для мошенничества или выдачи себя за другое лицо. Если вы получаете неожиданные сообщения, ссылающиеся на недавние поездки, будьте осторожны при переходе по ссылкам или предоставлении дополнительных проверочных данных. Мониторинг вашей личности на предмет необычной активности, особенно вокруг бронирований поездок или заявлений на визы, — разумная мера предосторожности после любой масштабной утечки такого рода.

Ключевые выводы

Эта утечка 220 миллионов записей напоминает, что чувствительные данные о поездках не требуют сложного злоумышленника для утечки — достаточно неправильно настроенной базы данных и подключения к интернету. Как путешественник, вы не можете проверить каждую систему, которая касается вашей паспортной информации, но вы можете ограничить ненужное предоставление личных документов, использовать надежные и уникальные пароли для аккаунтов, связанных с поездками, и скептически относиться к нежелательным сообщениям, ссылающимся на вашу историю поездок. Для организаций, работающих с такими данными, этот инцидент подчеркивает простую истину: проактивные проверки конфигурации безопасности обходятся гораздо дешевле, чем последствия публичной утечки.