Amadeusov sigurnosni incident zahvatio više prijevoznika

Malaysia Airlines upozorio je na moguću izloženost dijela podataka putnika nakon sigurnosnog incidenta u sustavu dobavljača Amadeus. Prema dosad dostupnim informacijama, prijevoznik nije utvrdio prodor u vlastite sustave ni pristup financijskim podatcima. Istraga o obuhvatu incidenta još traje.

Kompanija istražuje događaj s Amadeusom i drugim uključenim stranama te putnike poziva na oprez prema neželjenim porukama koje traže osobne ili platne podatke. Nije objavila broj pogođenih osoba, kategorije zapisa ni datum kada je dobavljač otkrio ranjivost, pa se stvarni opseg za Maleziju još ne može izračunati.

Amadeus je Reutersu potvrdio ranjivost u okruženju za prikaz putničkih rezervacija. Isti dobavljački događaj pogodio je više prijevoznika: Cathay Pacific prijavio je podatke vezane uz 53.000 rezervacija, a Japan Airlines oko 92.000 korisnika. Zbroj nije konačan jer se putnici, rezervacije i segmenti leta mogu preklapati.

Rezervacijski zapis obično povezuje ime, kontakt, rutu, datum putovanja i operativne oznake. Čak i bez broja kartice takva kombinacija pomaže uvjerljivom phishingu: napadač zna prijevoznika i putovanje pa poruku može predstaviti kao promjenu leta, povrat novca ili provjeru identiteta.

Poslovni problem nije ograničen na jednu zrakoplovnu kompaniju. Globalni distribucijski i rezervacijski sustavi koncentriraju promet velikog broja prijevoznika, agencija i zračnih luka. Ta koncentracija smanjuje trošak povezivanja, ali povećava radijus posljedica kada zajednička komponenta ili administrativni račun zakažu.

Odgovornost se zato dijeli između dobavljača i prijevoznika. Amadeus mora ukloniti ranjivost, sačuvati tragove i utvrditi pristup, dok prijevoznik mora znati koje je podatke poslao, koliko ih dugo čuva, koga obavještava i kako prepoznaje zlouporabu u vlastitim kanalima podrške.