英航電子機票系統漏洞或洩露乘客個人資料

英航由於去年被黑客入侵,導致在 7 月時被英國資訊專員辦公室罰款 1.83 億英鎊,想不到很快又被發現安全漏洞。英航的電子機票系統被發現存在漏洞,黑客能夠觀看乘客的個人資料,甚至更改他們的預約資料。

Check-in 連結缺乏加密
較早前發現臭蟲的研究人員表示,英航透過電郵向用戶發送的 Check-in 連結並沒有加密,打開之後可能洩露用戶的預約號碼、電話號碼、電郵地址和其他資料,他向外媒表示,估計在過去 6 個月大約有 250 萬個受影響連線。

英航的原意是提升客戶體驗,電郵中提供直接的連結並自動登入,使他們能夠更方便進行 Check-in,可惜該連結的參數正是預約號碼和姓別,而該連結沒有經過加保護完全公開。

相同公共 Wi-Fi 網絡能截取連結並使用
由於該登入連結缺乏加密保護,意味著只要某人與乘客使用相同的公共 Wi-Fi 網絡,就能輕易截取連結並加以利用,然後存取乘客網上 Check-in 的資料,而令事情變得更差的情況是,部份機場料,甚至以危險的 Wi-Fi 網絡而臭名遠播。

在那些地方,有心人能夠觀看受害者的個人資,甚至操縱他們的預約資料,外洩的資料會包括:電郵地址、電話號碼、英航會員編號、乘客姓名、預約編號、行程、航班編號、航班時間和座位等等。該漏洞在 7 月被發現,研究人員表示已通知英航有關連結的漏洞,可惜直至今個星期有關的問題仍然持續,幸好英航方面已經和研究人員聯絡,相信問題很快得以解決。

沒跡象顯示客戶資料已被盜取
根據英航表示,該連結無法存取護照和付款資料,也沒有客戶資料被盜的跡象,公司十分認真看待客戶資料,現正針對潛在的問題正採取行動,讓客戶能得到安全的保護。其實類似的 Check-in 漏洞在今年 2 月時已經發現,當時受影響的包括 8 家主要航空公司,包括:SouthWest、KLM、France、Jetstar、Thomas Cook、Vueling、Air Europa 和 Transavia 航空,所有航空公司被通知後都迅速採取行動令 Check-in 連結變得安全。

不過研究人員認為,除了在 Check-in 連結加入加密程序之外,並且在存取 PII 甚至更改時需要確認用戶身份。

GDPR 條例下可被重罰
在 2018 年 8 月英航因為公司網站和流動應用程式被入侵,聲稱大約 50 萬客戶信用卡資料被盜,令該公司在今年 7 月被判罰款 1.83 億英鎊。而其他航空公司也受保安事故所困擾,加航在去年 8 月聲稱 2 萬流動程式用戶的護照資料外洩,要求用戶在偵測到不正常登入行為後,以 Mobile+ 應用程式重設帳號密碼。在 4 月時 Delta 也聲稱因為惡意程式入侵第三方服務,令一小部份客戶受到資料外洩事件影響。

資料來源:Threat Post

Comments are closed