Singapore Airlines Ltd. đã trở thành hãng hàng không mới nhất bị ảnh hưởng bởi một vụ vi phạm dữ liệu tại một trong những nhà cung cấp phần mềm chính của mình, theo Bloomberg. Báo cáo cho biết số lượt đặt chỗ bị xâm phạm trên toàn ngành bởi vụ tấn công hiện đã vượt quá 200.000. Vụ vi phạm dữ liệu của Singapore Airlines là lời nhắc nhở rằng dữ liệu du lịch của bạn thường nằm ở những công ty mà bạn không trực tiếp lựa chọn.

Vụ vi phạm từ nhà cung cấp đã lan đến Singapore Airlines như thế nào

Sự cố không bắt đầu từ bên trong hãng hàng không. Bloomberg mô tả đây là một vụ vi phạm tại một trong những nhà cung cấp phần mềm chính của Singapore Airlines, và Singapore Airlines là hãng hàng không mới nhất bị cuốn vào vụ việc. Tổng số hơn 200.000 lượt đặt chỗ bị xâm phạm trên toàn ngành phản ánh việc nhiều hãng hàng không phụ thuộc vào cùng một hệ thống.

Đó là bài học cốt lõi. Các hãng hàng không thuê ngoài các chức năng đặt chỗ, làm thủ tục và các chức năng khác cho các nhà cung cấp chuyên biệt. Khi một nhà cung cấp bị xâm phạm, rủi ro có thể lan sang mọi hãng hàng không sử dụng nhà cung cấp đó, ngay cả khi mạng lưới riêng của từng hãng chưa từng bị ảnh hưởng.

Để có thông tin nền về giai đoạn trước của câu chuyện này, bài đưa tin của chúng tôi về cách vụ vi phạm Amadeus làm lộ 46.000 hồ sơ đặt chỗ của SIA giải thích cách sự cố từ nhà cung cấp lần đầu được ghi nhận đối với Singapore Airlines. Báo cáo của Bloomberg mở rộng bức tranh từ một hãng hàng không ra toàn bộ ngành.

Dữ liệu đặt chỗ nào có thể bị lộ

Bản tóm tắt của Bloomberg không liệt kê chính xác những trường dữ liệu nào bị lấy đi, và chúng tôi sẽ không suy đoán. Hồ sơ đặt chỗ du lịch thường chứa những loại thông tin mà góc tiếp cận được gợi ý cho câu chuyện này đề cập: tên hành khách, thông tin liên hệ và lịch trình. Các hãng hàng không và nhà cung cấp bị ảnh hưởng là những bên phù hợp nhất để xác nhận chính xác những gì liên quan trong từng trường hợp cụ thể.

Ngay cả khi không có dữ liệu thanh toán, những trường thông tin đó vẫn có giá trị thực sự. Một cái tên đi kèm địa chỉ email, số điện thoại và ngày bay cung cấp đủ ngữ cảnh để ai đó viết một tin nhắn thuyết phục. Lịch trình đặc biệt hữu ích vì chúng cho thấy bạn sẽ ở đâu và khi nào.

Rủi ro lừa đảo trực tuyến và chiếm đoạt tài khoản sau một vụ vi phạm dữ liệu du lịch

Rủi ro thực tế chính từ một vụ vi phạm như thế này là sự lừa dối có chủ đích. Một kẻ lừa đảo biết chi tiết đặt chỗ của bạn có thể giả danh hãng hàng không và gửi một tin nhắn trông có vẻ thông thường:

  • Thông báo rằng chuyến bay của bạn đã thay đổi và bạn phải "xác nhận" đặt chỗ của mình.
  • Ưu đãi hoàn tiền yêu cầu thông tin thẻ.
  • Nhắc nhở làm thủ tục với liên kết đến một trang đăng nhập giả.
  • Cuộc gọi hoặc tin nhắn tự nhận là dịch vụ khách hàng và yêu cầu mã xác minh.

Mục cuối cùng quan trọng đối với việc chiếm đoạt tài khoản. Nếu kẻ gian khiến bạn đọc mã dùng một lần hoặc nhập mật khẩu trên một trang giả, chúng có thể truy cập tài khoản khách hàng thân thiết hoặc tài khoản đặt chỗ của bạn. Vì các tin nhắn đề cập đến chi tiết chuyến đi thực, chúng có vẻ đáng tin cậy hơn thư rác thông thường.

Rủi ro tương tự do nhà cung cấp gây ra đã ảnh hưởng đến các tổ chức khác tại Singapore. Vụ vi phạm hệ thống thử nghiệm của IBM làm lộ 70.000 hồ sơ SLA là một trường hợp khác trong đó dữ liệu bị lộ qua môi trường của bên thứ ba thay vì qua cửa chính của chính tổ chức.

Giảm thiểu dữ liệu cá nhân bạn chia sẻ với các nhà cung cấp dịch vụ du lịch

Bạn không thể kiểm soát bảo mật của nhà cung cấp, nhưng bạn có thể hạn chế những gì có thể bị mất.

  • Chỉ chia sẻ những gì được yêu cầu. Bỏ qua các trường tùy chọn như số điện thoại bổ sung, địa chỉ nhà hoặc chi tiết giấy tờ trừ khi một lượt đặt chỗ thực sự cần đến chúng.
  • Sử dụng một địa chỉ email riêng cho việc du lịch. Một địa chỉ riêng giúp dễ phát hiện các tin nhắn đáng ngờ hơn và hạn chế thiệt hại nếu nó bị rò rỉ.
  • Tránh liên kết quá nhiều dịch vụ. Ít tài khoản được kết nối hơn đồng nghĩa với ít đường dẫn hơn cho kẻ tấn công.
  • Giữ gọn gàng các xác nhận đặt chỗ. Xóa các xác nhận cũ mà bạn không còn cần.
  • Bật bảo vệ đăng nhập mạnh. Sử dụng mật khẩu duy nhất và xác thực hai yếu tố qua ứng dụng hoặc phần cứng khi được cung cấp.

Đây cũng chính là nguyên tắc đằng sau các sự cố gần đây khác, như vụ vi phạm dữ liệu của Alliance Medinet ảnh hưởng đến 110.000 thành viên: dịch vụ càng giữ ít thông tin nhạy cảm về bạn, thì càng ít thứ có thể bị lộ.

Điều này có ý nghĩa gì với bạn

Nếu bạn đã bay với Singapore Airlines hoặc một hãng hàng không khác gần đây, hãy giả định rằng chi tiết đặt chỗ của bạn có thể đang bị đe dọa và hành động phù hợp. Bạn không cần phải hoảng loạn, nhưng bạn nên thay đổi cách xử lý các tin nhắn du lịch. Hãy coi các email, tin nhắn văn bản hoặc cuộc gọi bất ngờ về đặt chỗ, hoàn tiền hoặc làm thủ tục là đáng ngờ cho đến khi được xác minh.

Thói quen an toàn nhất là bỏ qua các liên kết trong tin nhắn và truy cập trực tiếp vào ứng dụng hoặc trang web chính thức của hãng hàng không, tự gõ địa chỉ. Kiểm tra đặt chỗ của bạn ở đó. Nếu không có vấn đề nào được liệt kê, tin nhắn đó có thể không phải là thật. Không bao giờ chia sẻ mã dùng một lần với bất kỳ ai liên hệ với bạn trước.

Những điểm chính cần ghi nhớ

Vụ vi phạm dữ liệu của Singapore Airlines cho thấy một thất bại đơn lẻ của nhà cung cấp có thể lan rộng khắp toàn ngành như thế nào, với hơn 200.000 lượt đặt chỗ hiện được báo cáo là bị xâm phạm. Hãy dừng lại trước khi hành động dựa trên bất kỳ tin nhắn bất ngờ nào về đặt chỗ, hoàn tiền hoặc làm thủ tục, xác minh qua các kênh chính thức và ngay từ đầu hãy chia sẻ ít dữ liệu cá nhân hơn với các nhà cung cấp dịch vụ du lịch. Để hiểu cách sự cố từ nhà cung cấp bắt đầu, hãy đọc báo cáo trước đó của chúng tôi về vụ vi phạm Amadeus và hồ sơ đặt chỗ của SIA.