Дев'ять років номерів паспортів і номерів місць, на сервері з заводським паролем
Кожного разу, коли ви летите за кордон, авіакомпанія передає країні призначення набір даних про вас ще до вильоту. Ця система називається APIS, Advance Passenger Information System, і це приблизно найчутливіша купа даних, яка існує поза банком. Kinryu Labs знайшла одну таку базу у відкритому інтернеті 3 червня, коли перевіряла незахищені бази. У ній було 220,8 мільйона записів: 210,3 мільйона пасажирів і 10,5 мільйона членів екіпажів, близько 107GB у 29 індексах, на діапазоні IP-адрес, виділеному Viettel у Ханої.
Це не частковий злив. Імена, дати народження, стать, громадянство, номер паспорта або документа для подорожей із датою закінчення і країною видачі, далі номер і дата рейсу, авіакомпанія, аеропорти вильоту, призначення й транзиту, номер місця, номер багажу та запланований, орієнтовний і фактичний час. Записи охоплюють період із січня 2017 до квітня 2026 і стосуються пасажирів авіакомпаній Азії й Тихоокеанського регіону, Європи та Близького Сходу, які в той час летіли до В'єтнаму, з нього або через нього. Щоб увійти, треба було поєднати дві помилки: шлях через хмару, що обходив автентифікацію, і заводські дані для входу, які ніхто ніколи не змінював. Kinryu Labs повідомила про це того самого дня, і доступ закрили 8 червня, за допомогою в'єтнамських органів і авіакомпаній.
Чого ніхто вам не скаже - це чи не побував там хтось раніше. Дослідники не знайшли ні вимог викупу, ні слідів змін, але й журналів сервера не було, тому "ми не знайшли доказів" - це все, що можна стверджувати. Номер паспорта не пароль: його не змінюють, і він залишається чинним роками. Реальний ризик не в тому, що хтось забронює рейс на ваше ім'я. Він у тому, що повідомлення, яке називає вашу авіакомпанію, ваше місце і точну дату рейсу, звучить надзвичайно переконливо, тоді як жодна авіакомпанія й жодна прикордонна служба ніколи не просить підтвердити дані паспорта листом чи СМС щодо поїздки, яка вже відбулася.
Більшість із нас тримає й власну копію всього цього: скани паспорта, талони на посадку та візові листи, що лежать у папці Документи. Перевірка стану захисту Tendvane скаже вам, чи справді BitLocker увімкнений на цьому диску, і нагадає зберегти ключ відновлення десь інде, а не на комп'ютері, який він відкриває.