Naruszenie w systemie Amadeusa: co do tej pory ujawniły linie lotnicze

The Straits Times podał 3 listopada, że 46 000 rekordów Singapore Airlines wiązało się z luką w Amadeusie. To najnowsza twarda liczba w historii, która narasta od kilku dni. To także najwyraźniejszy jak dotąd sygnał, że nie chodzi o incydent jednej linii. Problem dotyczy wspólnego dostawcy.

Amadeus prowadzi platformę rezerwacyjną, z której korzystają setki przewoźników. Wiele doniesień mówi, że luka w tej platformie pozostawała niezauważona przez długi czas. shattered.io opisał ekspozycję jako obejmującą 38 miesięcy danych linii lotniczych. PYOK, cytowany w zbiorczych relacjach, nazwał naruszenie sprawą trwającą trzy lata. Amadeus naprawił już lukę, podał NST Online 2 listopada. Wciąż brakuje jednego wiarygodnego opisu, ilu pasażerów dotknięto i co dokładnie zabrano. Każda linia ujawniała informacje według własnego harmonogramu i z własnymi liczbami. Niektóre podkreślały, że ich własne systemy pozostały nietknięte.

Cathay Pacific i 53 000 rezerwacji

Cathay Pacific jako pierwsza wśród większych przewoźników podała liczbę: 53 000 rezerwacji naruszonych, według Bangkok Post z 2 listopada. IDNFinancials i Aviation A2Z również podały tę liczbę. To ujawnienie przedstawiło incydent jako cyberatak na dostawcę, a nie na linię. Ma to znaczenie dla sposobu, w jaki pasażerowie powinni czytać komunikaty.

Malaysia Airlines przyjęła inną publiczną linię. Przewoźnik oświadczył, że jego systemy informatyczne nie zostały dotknięte naruszeniem w Amadeusie, podał PenangToday 2 listopada. Przyznał jednak, że klienci mogą być w to zamieszani, według Bangkok Post. The Star zacytował linię, która stwierdziła, że jej własny system nie został naruszony mimo cybernaruszenia u dostawcy.

Te dwa oświadczenia nie są sprzeczne, ale łatwo je opacznie zrozumieć. Infrastruktura linii może być czysta, podczas gdy warstwa rezerwacji, którą wynajmuje od dostawcy, czysta nie jest. Qantas wciąż badał możliwą ekspozycję danych rezerwacyjnych, podał Airways Magazine 2 listopada. News.com.au zaliczył Qantas do kilku głównych linii dotkniętych naruszeniem. News24 zauważył, że ucierpiały przewoźnicy latający do i z australijskich lotnisk. Japan Airlines pojawia się w relacjach jako jedna z linii zamieszanych w incydent, według zestawienia opublikowanego 2 listopada.

Dlaczego jeden dostawca dociera do tylu przewoźników

Systemy rezerwacyjne to najmniej widoczna i najbardziej współdzielona część informatyki linii lotniczych. Pasażer kupuje bilet od jednej marki. Ale rekord rezerwacji często żyje na platformie prowadzonej przez firmę trzecią, która obsługuje dziesiątki marek naraz. Gdy ta warstwa zawodzi, zasięg szkód wyznacza lista klientów dostawcy. Nie ustala go budżet bezpieczeństwa pojedynczej linii.

To strukturalny punkt, o którym pisał nagłówek Insurance Business z 2 listopada. Postawił ryzyko cybernetyczne dostawców w centrum uwagi, gdy naruszenie dotknęło linii na całym świecie. PhocusWire podał tego samego dnia, że ucierpiało wielu partnerów linii lotniczych. Wzorzec jest znany z innych sektorów: najsłabszym ogniwem rzadko jest marka na karcie pokładowej.

Amadeus naprawił lukę, według NST Online, ale ujawnienia poszczególnych przewoźników napływały w kolejnych dniach.

Dla podróżnych praktyczne pytania są węższe. Które rekordy otwarto, jakie pola zawierały i czy naruszony rekord rezerwacji stwarza ryzyko oszustwa lub przejęcia konta? Większość dotychczasowych ujawnień nie odpowiada na wszystkie trzy. Liczba 53 000 w Cathay i 46 000 w Singapore Airlines to liczby rezerwacji, niekoniecznie osób. Jedna rezerwacja może obejmować rodzinę.

Jest też problem z czasem. Jeśli ekspozycja naprawdę trwała 38 miesięcy, jak podał shattered.io, to niektórzy dotknięci pasażerowie mogli już odbyć podróż i całkiem o niej zapomnieć. Linie, które powiadamiają tylko niedawnych klientów, mogą zostawić starszych bez informacji. Okno powiadomień wynoszące 180 dni, stosowane wobec niektórych operatorów platform w innych kontekstach, nie przekłada się wprost na tę sprawę. Żadna z relacji nie ustala jednego standardu powiadomień dla wszystkich przewoźników.

Wzorzec ujawnień jest tu historią

Spójrzmy na kalendarz. Liczba Cathay pojawiła się około 30 października, według South China Morning Post. Oświadczenie Malaysia Airlines pojawiło się 1 i 2 listopada. Qantas wciąż badał sprawę 2 listopada. Liczba 46 000 Singapore Airlines dotarła 3 listopada. To powolne, rozłożone w czasie ujawnianie, każdy przewoźnik kalibruje własny komunikat. Nikt nie opublikował zbiorczego zestawienia.

Business Traveller zapytał 2 listopada, czy hakerzy uzyskali dostęp do danych o lotach. To pytanie, które faktycznie ma większość pasażerów. Uczciwa odpowiedź z publicznego zapisu brzmi: u niektórych przewoźników tak, w jakiejś formie; u innych śledztwo trwa. Zapewnienie Malaysia Airlines, że jej systemy pozostały nietknięte, o którym donosiły KLSE Screener i PenangToday, to użyteczne przypomnienie. "Dotknięty" w takich historiach może znaczyć kilka różnych rzeczy.

Nic z tego nie jest wyłączne dla podróży. To samo ryzyko koncentracji u firm trzecich pojawia się w płatnościach, płacach i hostingu w chmurze. Wyjątkowość rezerwacji lotniczych tkwi w danych: nazwiska, dane kontaktowe, trasy, a czasem więcej. Te dane są przechowywane dla milionów ludzi, którzy nigdy nie wybrali dostawcy.

Amadeus nie opublikował pełnego opisu incydentu. Dopóki tego nie zrobi, liczby będą napływać po jednej linii naraz.