Hackers Exposed

A segurança de dados da British Airways está sob ataque novamente, depois que pesquisadores de segurança da Wandera revelaram uma vulnerabilidade que deixa as informações pessoais de passageiros expostas a hackers farejando nosso tráfego em redes públicas, como as dos aeroportos, por exemplo.

A questão relacionada aos links de check-in enviados por e-mail não é nova, mas isso não impedirá que a empresa aérea seja atingida apenas algumas semanas depois de receber uma multa recorde de 230 milhões de dólares por uma violação dos regulamentos de dados. Em 2018, a companhia aérea violou dados pessoais e financeiros de mais de 500.000 clientes.

Agora, de acordo com os pesquisadores de segurança da Wandera, a BA (juntamente com outras companhias aéreas) inclui detalhes do passageiro nos “parâmetros de URL que direcionam o passageiro do e-mail para o site da British Airways, onde eles entram automaticamente para ver seu itinerário e verificar -em para o seu voo.

Se um invasor puder interceptar a solicitação de link, o que inclui a reserva nomeada do passageiro. número de referência, então eles podem ser usados ​​para acessar a reserva em si. De acordo com a divulgação, os dados abertos aos atacantes incluem:

• Endereço de e-mail
• Número de telefone
• Números de Associação BA
• Primeiro nome
• Último nome
• Referência de reserva
• Itinerário
• Número do vôo
• Tempos de Vôo
• Número do assento
• Franquia de bagagem

De acordo com a British Airways, eles não haviam recebido nenhuma informação detalhada da Wandera e nenhuma informação crítica pode ser acessada – também não há evidências de que uma violação tenha realmente ocorrido usando essa vulnerabilidade. Como sempre, quando uma divulgação pública é feita, o risco de exploração aumenta.

A mesma questão foi divulgada pela mesma equipe de pesquisa em fevereiro. Naquela época, a Southwest, a KLM, a Air France, a Jetstar, a Thomas Cook, a Vueling, a Air Europa e a Transavia estavam sob os holofotes. Desta vez é British Airways e o tempo para a companhia aérea do Reino Unido não poderia ser pior.

Obviamente, Wandera aconselha as companhias aéreas a criptografar totalmente o processo de check-in e a interromper a conveniência de negociação por segurança. A equipe também recomenda “tokens de uso único” para links diretos em emails.

Um porta-voz da British Airways disse a Forbesque “levamos a segurança dos dados de nossos clientes muito a sério – como outras companhias aéreas, estamos cientes desse possível problema e estamos tomando medidas para garantir que nossos clientes permaneçam protegidos com segurança”.

O fato de que esta questão vem circulando há meses, mas ainda continua sendo um problema, apesar de o setor de aviação ser atingido por várias violações, é surpreendente e decepcionante por si só. O fato de ter atingido a companhia, considerando os eventos dos últimos meses, apenas torna o caso ainda mais importante. Como passageiros, gostaríamos de pensar que vulnerabilidades óbvias são rapidamente conectadas – mas claramente não.

Até agora, essa vulnerabilidade continua sendo uma fraqueza potencial, e não uma violação real. E o impacto de qualquer violação seria menos extenso do que para conjuntos de dados que incluem dados financeiros, registros de identidade e senhas. Mas é uma fraqueza e, portanto, deve ser corrigida.