פרצת אבטחה במערכות של 8 חברות תעופה
חברת אבטחת מידע חשפה כי חברות התעופה שלחו לינקים לא מוצפנים לביצוע צ'ק-אין וחשפו את פרטי הלקוחות בפני האקרים. בין החברות: אייר פראנס, אייר אירופה, KLM וטראנסאוויה
פרטיהם האישיים של לקוחות של שמונה חברות תעופה עשויים להיות חשופים להאקרים עקב פרצה שנמצאה במערכות שלהן. על פי דו"ח שפרסמה חברת אבטחת המידע "וונדרה" (Wandera), מערכות הכרטוס שלחו ללקוחות לינקים בעייתיים לביצוע צ'ק-אין לטיסות, ובכך סיכנו את פרטיהם האישיים.
בין חברות התעופה שבמערכות שלהן נמצאו חולשות האבטחה: אייר אירופה, אייר פראנס, ג'טסטאר, KLM, סאות'ווסט, תומאס קוק, טראנסאוויה ו-וולינג איירליינס. חלקן טסות גם לישראל. על פי "וונדרה", שנוסדה על-ידי האחים הישראלים אלדר ורועי טובי, עקב שליחת הלינקים, האקרים יכלו לקבל גישה לפרטי הלקוחות ואף לשנות אותם לפני שהלקוחות משתמשים בהם כדי לעלות את המטוס.
כמעט כל חברת תעופה מצוידות כיום במערכת המאפשרת ניהול הזמנה וצ'ק-אין דרך אתר החברה. אל התהליך הזה ניתן להיכנס, לרוב, באמצעות מספר פרטים על ההזמנה: מספר ההזמנה או מספר הכרטיס, יחד עם שם המשפחה (ולעיתים גם שם פרטי) של המזמין. הדפים האלה, גם במקרים של החברות המדוברות, הינם מוצפנים.
הפרצה נמצאת במיילים שנשלחים דרך המערכות של חברות התעופה האלה. בתוך מייל טיפוסי, יהיה
קישור לדף ניהול ההזמנה או דף צ'ק אין. וכאן יש צירוף של שני דברים בעייתיים: הראשון הוא שהקישור אינו מאובטח (http ולא https). זה אומר שאם מישהו מנטר את תעבורת הרשת, ניתן יהיה לראות את הקישור בשלמותו כאשר הדפדפן מנסה לגשת אליו. הדבר הבעייתי השני הוא שהקישור הלא-מאובטח כולל בתוכו קישור מאובטח עם פרטי משתמש גלויים.
למה זה קורה? הקישור-בתוך-קישור הוא חלק ממערכת שמטרתה לעקוב אחר שליחה וקריאה של המיילים. המשתמש בעצם מגיע לשרת לא מאובטח, ש"רושם" את נוכחותו, ואז מעביר אותו לדף אליו הוא היה אמור להגיע. חשיפת הפרטים בתוך הקישור המאובטח היא דרך של החברות למסור את הפרטים האלה למערכת בזמן הגעת המשתמש לאתר. במקום שיצטרך להכניס אותם ידנית, הם מועברים בתוך הקישור. אם גם הקישור הראשוני היה מאובטח, לא הייתה כאן שום בעיה.
