Con las ventajas de la tecnología también vienen muchos riesgos, y no es un secreto que las aerolíneas no están exentas de problemas de seguridad. Y ahora, una seria vulnerabilidad podría tener el potencial de exponer información confidencial de millones de pasajeros, incluyendo sus datos personales y hasta su número de pasaporte, además de permitir el acceso a sus datos de vuelo.
En efecto, un equipo de investigadores ha descubierto que los sistemas de boletos electrónicos, (conocidos en inglés como e-tickets) de varias líneas aéreas, podrían dar paso a un serio riesgo de seguridad, debido a que los correos electrónicos que se envían a los pasajeros no tienen una encriptación para sus enlaces.
Esta omisión podría permitir a hackers que están en la misma red del usuario (por ejemplo, una red pública de Wi-Fi, común en aeropuertos, cafeterías o restaurantes) tener acceso para ver, y en algunos casos incluso cambiar, los detalles de reservas de vuelo o tarjetas de embarque.
La agencia de seguridad Wandera afirma que ocho aerolíneas han estado enviando enlaces de para hacer el check-in sin cifrar, a través de sus sistemas de boletos electrónicos. Las empresas nombradas en este informe son: Southwest, Air France, KLM, Vueling, Jetstar, Thomas Cook, Transavia y Air Europa.
“Nuestros investigadores de amenazas descubrieron que estas aerolíneas han enviado a los pasajeros enlaces de facturación sin encriptar”, dijo Liarna La Porta, parte del equipo de Wandera, en declaraciones a Threat Post. “Al hacer clic en estos enlaces no cifrados, un pasajero es dirigido a un sitio donde inicia sesión automáticamente en el check-in para su vuelo y, en algunos casos, puede realizar ciertos cambios en su reserva e imprimir los pases de abordar”.
Esencialmente, esta falla podría permitir que un pirata informático intercepte fácilmente un enlace de check-in y obtenga acceso a la información del pasajero. Según el informe, el hacker podría ver todos los datos personales asociados con la reserva de la aerolínea, incluido el nombre completo, el número de confirmación y el número de viajero frecuente.
Pero los riesgos potenciales asociados con esta falla van más allá de simples datos básicos. Wandera previene que, usando estas credenciales, el atacante podría ingresar al sistema de boletos electrónicos y acceder a toda la información de identificación personal asociada con la reserva del vuelo, que incluye el nombre del pasajero y su correo electrónico, e incluso el número del documento requerido por las aerolíneas para poder comprar un boleto, es decir, el ID o pasaporte y su fecha de vencimiento.
Con respecto al viaje específico, también se podría tener acceso a los números y horarios de vuelo, pases de abordar y asignaciones de asientos. En algunos casos, incluso se podría agregar o eliminar equipaje adicional, cambiar los asientos asignados y cambiar el número de teléfono móvil o correo electrónico asociado con la reserva.
Los investigadores de Wandera dijeron que notificaron a todas las aerolíneas impactadas, así como a las “agencias gubernamentales relevantes”, sobre este problema de seguridad, después de identificar las fallas a principios de diciembre de 2018.
“Wandera tiene un estricto proceso de divulgación responsable que seguimos en situaciones como esta”, dijeron los investigadores. “Una vez que se notifica al proveedor afectado, damos un plazo de hasta cuatro semanas para que proporcione un parche u otra solución relevante, antes de revelar la vulnerabilidad para alertar al público”.
Debido a la forma en que se explota esta vulnerabilidad, es poco probable que se pueda lanzar algún tipo de ataque masivo, pero sí podría afectar a viajeros a nivel individual. Para evitar este tipo de problemas, es importante asegurarse de visitar únicamente los enlaces en una red segura, evitando opciones de Wi-Fi público, o realizar las transacciones vía telefónica, o de ser posible, en persona, o utilizar apps de bloqueo para proteger tu seguridad.
