Cyberbezpieczeństwo
Wyciek danych z serwisu śledzącego loty. Błąd niewykryty przez 3 lata
Autor. Gary Lopater/Unsplash
Użytkownicy serwisu śledzącego loty FlightAware mogą być zaskoczeni informacjami opublikowanymi przez właścicieli portalu. Okazało się bowiem, że dane użytkowników - razem z hasłami - były możliwe do pozyskania z zewnątrz bez jakiejkolwiek weryfikacji.
Wpadki dotyczące zabezpieczeń zdarzają się co jakiś czas. Na naszych łamach opisywaliśmy w maju, jak „prosty błąd” zagroził bezpieczeństwu milionów danych.
Problem ten nie ogranicza się jednak do samych informacji personalnych – niewłaściwa konfiguracja ochrony może doprowadzić do spotęgowania efektów cyberataków, czego dowiódł Microsoft pod koniec lipca.
Czytaj też
Kłopoty FlightAware. Wszystko przez jeden błąd
Spore problemy mogą również czekać portal śledzący loty na całym świecie FlightAware, a także jego użytkowników. Serwis The Register podał bowiem, że administracja przyznała się do błędu w konfiguracji, który spowodował ujawnienie danych użytkowników.
Cała sprawa ujrzała światło dzienne w ostatnim tygodniu, gdy powiadomienie o wycieku trafiło do kalifornijskiego prokuratora generalnego. Administracja FlightAware odkryła błąd w konfiguracji serwisu 25 lipca – był to jednak wierzchołek góry lodowej.
Wyciekły hasła i adresy. Dane były dostępne przez kilka lat
Według informacji w powiadomieniu, podmioty spoza FlightAware mogły uzyskać nie tylko podstawowe dane użytkownika, jak jego nazwa czy adres e-mail. Ujawnione zostały również m.in. hasła, adresy zamieszkania, numery telefonów, ostatnie 4 cyfry kart kredytowych, czy informacje typowe dla lotnictwa, jak status pilota i posiadane samoloty.
Sam błąd był obecny w serwisie przez zaskakująco długi okres. Miał się pojawić w Nowy Rok 2021 i przez ponad 3,5 roku pozostawał niewykryty przez administrację portalu. Nie wiadomo również, ilu konkretnie z 12 mln użytkowników FlightAware zostało dotkniętych wyciekiem. The Register wskazuje, że prawo kalifornijskie nie wymaga od przedsiębiorstw przekazywania tego typu danych.
Użytkownicy, których dane mogły wyciec, decyzją administracji muszą zmienić swoje hasło w serwisie przy następnym logowaniu. Jako zadośćuczynienie, FlightAware zaoferowało… darmowe monitorowanie statusu kredytowego za pośrednictwem Equifax przez dwa lata.
Czytaj też
Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].
