Một vụ vi phạm dữ liệu tại nhà cung cấp phần mềm du lịch Amadeus đã ảnh hưởng đến 46.000 hồ sơ đặt vé của Singapore Airlines (SIA), theo báo cáo từ The Straits Times. Thông tin bị lộ liên quan đến chi tiết khách hàng, nhưng thông tin thanh toán không nằm trong số dữ liệu bị truy cập. Vụ vi phạm dữ liệu Amadeus-SIA là một lời nhắc nhở hữu ích rằng dữ liệu cá nhân của bạn có thể bị xâm phạm tại một công ty mà bạn chưa từng đăng ký.

Nguồn tin gốc khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được xác nhận và những gì du khách có thể làm một cách hợp lý.

Những gì đã bị lộ trong vụ vi phạm Amadeus

Theo báo cáo, 46.000 hồ sơ đặt vé SIA đã bị truy cập bất hợp pháp trong một sự cố ảnh hưởng đến Amadeus, một nhà cung cấp phần mềm hỗ trợ hệ thống đặt vé máy bay. Các hồ sơ chứa chi tiết khách hàng. Thông tin thanh toán không bị lộ.

Bài báo không nêu rõ những trường dữ liệu chính xác nào bị ảnh hưởng, cách kẻ tấn công xâm nhập, hay ai chịu trách nhiệm, nên chúng tôi sẽ không suy đoán. Nếu bạn đã đặt vé với SIA, giả định an toàn nhất là loại thông tin thường gắn với một đặt chỗ, chẳng hạn như tên và chi tiết chuyến đi của bạn, có thể bị ảnh hưởng cho đến khi hãng hàng không thông báo khác. Hãy kiểm tra mọi thông báo trực tiếp từ SIA hoặc Amadeus, vì những thông báo đó sẽ mô tả dữ liệu cụ thể bị ảnh hưởng.

Tại sao hệ thống đặt vé bên thứ ba là mắt xích yếu

Hầu hết du khách nghĩ về việc đặt vé như một mối quan hệ giữa họ và hãng hàng không. Trên thực tế, dữ liệu đặt chỗ thường đi qua và được lưu trữ bởi các nhà cung cấp công nghệ hoạt động phía sau. Bạn chưa bao giờ chọn những nhà cung cấp đó, chưa bao giờ đọc chính sách bảo mật của họ, và thường không thể từ chối họ.

Điều đó tạo ra một vấn đề mang tính cấu trúc. Một hãng hàng không có thể đầu tư mạnh vào bảo mật của riêng mình, nhưng một điểm yếu tại nhà cung cấp vẫn có thể khiến khách hàng của họ bị lộ. Mô hình tương tự xuất hiện across các ngành. Bài viết của chúng tôi về các tiết lộ của Goldman Sachs và Man Group trong vụ vi phạm dữ liệu EY cho thấy cách một sự cố tại một nhà cung cấp có thể lan rộng để ảnh hưởng đến nhiều tổ chức khách hàng. Tương tự, vụ vi phạm dữ liệu SafePal làm lộ gần 40.000 khách hàng là một ví dụ khác về dữ liệu khách hàng trở nên dễ bị tổn thương thông qua các hệ thống xung quanh một sản phẩm, chứ không chỉ bản thân sản phẩm.

Đối với du khách, bài học thực tế là số lượng tổ chức nắm giữ dữ liệu của bạn lớn hơn số lượng thương hiệu bạn giao dịch.

Tại sao một vụ vi phạm không có dữ liệu thẻ vẫn quan trọng

Thật dễ dàng để thở phào khi nghe rằng không có chi tiết thanh toán nào bị lấy. Đó là tin tốt, vì nó làm giảm nguy cơ gian lận thẻ trực tiếp. Nhưng hồ sơ đặt vé vẫn có giá trị đối với tội phạm vì một lý do khác: chúng cung cấp ngữ cảnh.

Một tin nhắn đề cập đến tên thật của bạn và một chuyến đi sắp tới thực sự thuyết phục hơn nhiều so với một trò lừa đảo chung chung. Kẻ tấn công có thể sử dụng loại chi tiết đó để tạo ra email hoặc tin nhắn lừa đảo (phishing) trông như đến từ một hãng hàng không, một đại lý du lịch, hoặc một dịch vụ thanh toán, thúc giục bạn "xác nhận" một đặt chỗ, yêu cầu hoàn tiền, hoặc cập nhật chi tiết của bạn. Thông tin cá nhân cũng có thể được kết hợp với dữ liệu từ các vụ rò rỉ khác để xây dựng một hồ sơ đầy đủ hơn, khiến việc gian lận danh tính dễ thực hiện hơn.

Đây là một chủ đề lặp lại trong báo cáo về vi phạm dữ liệu. Ngay cả khi các trường dữ liệu nhạy cảm nhất một cách rõ ràng được bảo toàn, chi tiết cá nhân bị rò rỉ có xu hướng lan truyền và được tái sử dụng. Báo cáo của chúng tôi về tuyên bố của Qilin chống lại Hawaii Dental Group thuộc một lĩnh vực khác, nhưng bài học tương tự: một khi hồ sơ rời khỏi tầm kiểm soát của một tổ chức, rủi ro về sau kéo dài vượt xa tiêu đề ban đầu.

Các bước hành khách bị ảnh hưởng có thể thực hiện ngay bây giờ

Bạn không cần phải hoảng loạn, nhưng một vài bước có chừng mực là đáng làm:

  • Theo dõi các thông báo chính thức. Nếu SIA hoặc Amadeus liên hệ với bạn, hãy đọc kỹ. Truy cập trang web của hãng hàng không bằng cách tự gõ địa chỉ thay vì nhấp vào liên kết trong email.
  • Đối xử với các tin nhắn du lịch bất ngờ một cách đáng ngờ. Hãy cảnh giác với email hoặc tin nhắn về thay đổi chuyến bay, hoàn tiền, nâng hạng ghế, hoặc xác nhận đặt chỗ mà bạn không yêu cầu, ngay cả khi chúng chứa chi tiết chính xác.
  • Bảo mật tài khoản hàng không của bạn. Sử dụng mật khẩu mạnh, duy nhất và bật xác thực hai yếu tố nếu được cung cấp. Nếu bạn đã tái sử dụng mật khẩu ở nơi khác, hãy thay đổi ở đó too.
  • Kiểm tra tài khoản khách hàng thường xuyên của bạn. Xem lại hoạt động gần đây và chi tiết liên hệ được liên kết để tìm bất kỳ điều gì lạ.
  • Theo dõi tài khoản tài chính của bạn. Mặc dù dữ liệu thanh toán được báo cáo là không bị ảnh hưởng, kiểm tra thường xuyên là một thói quen hợp lý sau bất kỳ vụ vi phạm nào.
  • Hạn chế những gì bạn chia sẻ. Chỉ cung cấp chi tiết mà một đặt chỗ yêu cầu, và thận trọng với thông tin bổ sung được yêu cầu bởi các trang web bên thứ ba.

Điều này có ý nghĩa gì với bạn

Nếu bạn đã bay hoặc đặt vé với Singapore Airlines, thông tin của bạn có thể nằm trong một hệ thống do một công ty mà bạn chưa từng trực tiếp giao dịch điều hành. Việc báo cáo không có dữ liệu thanh toán là đáng yên tâm, nhưng rủi ro thực sự trước mắt là lừa đảo có mục tiêu sử dụng chi tiết đặt chỗ thật để trông có vẻ hợp pháp. Chậm lại trước khi nhấp, và xác minh mọi yêu cầu thông qua các kênh chính thức, là biện pháp phòng vệ mạnh nhất của bạn.

Rộng hơn, bạn không thể kiểm toán mọi nhà cung cấp đằng sau mọi dịch vụ bạn sử dụng, nhưng bạn có thể giảm thiệt hại khi một trong số họ thất bại. Mật khẩu duy nhất, xác thực hai yếu tố, và một sự hoài nghi lành mạnh đối với các tin nhắn không mong muốn sẽ giúp ích rất nhiều.

Những điểm chính cần ghi nhớ

Vụ vi phạm dữ liệu Amadeus-SIA ảnh hưởng đến 46.000 hồ sơ đặt vé và, theo báo cáo, không bao gồm thông tin thanh toán. Hãy xem lại bảo mật tài khoản hàng không của bạn ngay hôm nay, cảnh giác với lừa đảo đề cập đến kế hoạch du lịch của bạn, và xác minh bất kỳ điều gì bất ngờ thông qua các kênh chính thức. Để biết thêm về cách phơi nhiễm bên thứ ba diễn ra, hãy đọc bài viết của chúng tôi về vụ vi phạm dữ liệu EY và các nạn nhân được nêu tên và vụ vi phạm SafePal.