Nouă ani de numere de pașaport și locuri pe avion, pe un server cu parola din fabrică
De fiecare dată când zbori în afara țării, compania aeriană trimite țării de destinație un set de date despre tine înainte de decolare. Sistemul acela se numește APIS, Advance Passenger Information System, și e cam cea mai sensibilă grămadă de date care există în afara unei bănci. Kinryu Labs a găsit una dintre ele stând pe internetul deschis pe 3 iunie, în timp ce cerceta baze de date expuse. Conținea 220,8 milioane de înregistrări: 210,3 milioane de pasageri și 10,5 milioane de membri de echipaj, aproximativ 107GB în 29 de indici, pe un interval de adrese IP alocat Viettel din Hanoi.
Conținutul nu e o scurgere parțială. Nume, date de naștere, sex, cetățenie, numărul pașaportului sau al documentului de călătorie cu data expirării și țara emitentă, apoi numărul și data zborului, compania, aeroporturile de plecare, destinație și tranzit, numărul locului, referința bagajului și orele programate, estimate și reale. Înregistrările merg din ianuarie 2017 până în aprilie 2026 și îi privesc pe pasagerii companiilor din Asia-Pacific, Europa și Orientul Mijlociu care au zburat în acea perioadă spre, din sau prin Vietnam. Ca să intri, trebuia să înlănțui două greșeli: o cale prin cloud care ocolea autentificarea și apoi date de acces din fabrică pe care nimeni nu le schimbase. Kinryu Labs a raportat problema în aceeași zi, iar accesul a fost închis pe 8 iunie, cu ajutorul autorităților vietnameze și al companiilor aeriene.
Ce nu îți poate spune nimeni este dacă a ajuns cineva acolo înainte. Cercetătorii nu au găsit nici cereri de răscumpărare, nici semne de modificare, dar nu existau nici jurnalele serverului, așa că "nu am găsit dovezi" e tot ce se poate afirma. Un număr de pașaport nu e o parolă: nu îl schimbi, și rămâne valabil ani de zile. Riscul realist nu e ca cineva să rezerve un zbor pe numele tău. E că un mesaj care numește compania, locul și data exactă a zborului sună extrem de credibil, în timp ce nicio companie aeriană și nicio poliție de frontieră nu îți cere niciodată să confirmi date de pașaport prin email sau SMS pentru o călătorie deja făcută.
Aproape toți păstrăm și o copie proprie a acestor lucruri: scanări ale pașaportului, cărți de îmbarcare și scrisori pentru viză care dorm în folderul Documente. Verificarea stării de securitate din Tendvane îți spune dacă BitLocker este într-adevăr activ pe acel disc și te îndeamnă să salvezi cheia de recuperare în altă parte, nu pe calculatorul pe care ea îl deblochează.