Home Sociedad Más de 140 aerolíneas internacionales, afectadas por una violación grave de la...

Más de 140 aerolíneas internacionales, afectadas por una violación grave de la seguridad

Los posibles atacantes podían ver y cambiar información privada en las reservas de vuelos realizadas por millones de clientes de las principales aerolíneas internacionales, debido a un problema de seguridad en el sistema de reservas en línea Amadeus encontrado por Noam Rotem de Safety Detective.

Actualmente, el sistema de reserva de billetes Amadeus está siendo utilizado por 141 compañías aéreas internacionales, lo que le permite controlar más del 44% del mercado global de reservas online, entre cuyos clientes se encuentran United Airlines, Lufthansa y Air Canada.

Como describen los laboratorios de investigación de Safety Detective, el error de seguridad se encontró al intentar reservar un vuelo en la aerolínea EL AL, la compañía aérea nacional de Israel, que envió a los investigadores de seguridad “el siguiente enlace para comprobar nuestro PNR: https://fly.elal.co.il/LOTS-OF-NUMBERS-HERE.”

A partir de ahí, sólo se trataba de cambiar la RULE_SOURCE_1_ID que les permitía ver cualquier registro de nombres de pasajeros (PNR), así como todos los detalles del vuelo asociados.

Utilizando el nombre del cliente y el código PNR, los investigadores pudieron acceder con éxito al portal de clientes de EL AL, y “realizar cambios, reclamar millas de viajero frecuente a una cuenta personal, asignar asientos y comidas, y actualizar el correo electrónico y el número de teléfono del cliente, que luego podrían utilizarse para cancelar/cambiar la reserva de vuelos a través del servicio de atención al cliente”.

Para empeorar las cosas, EL AL envió códigos PNR a través de conexiones no cifradas que pueden ser fácilmente robadas mediante ataques de actores malos.

Además, los investigadores de Safety Detective también descubrieron que muchos clientes compartían sus códigos PNR a través de cuentas de medios sociales, lo que les convertía en objetivos fáciles para cualquiera que supiera del problema de seguridad de Amadeus.

Después de ejecutar un pequeño y no amenazante script para comprobar la existencia de protecciones de fuerza bruta, ninguna de las cuales fue encontrada, pudimos encontrar PNRs de clientes aleatorios, que incluían toda su información personal. Nos pusimos en contacto con ELAL inmediatamente para señalar la amenaza y motivarlos a cerrar la brecha antes de que fuera descubierta por alguien con intenciones maliciosas.

En la notificación enviada a la aerolínea israelí EL AL, los investigadores también proporcionaron una serie de medidas que deberían tomarse para mitigar la vulnerabilidad, comenzando con la introducción de captchas y contraseñas para reemplazar los códigos PNR de 6 caracteres, y terminando con un algoritmo de protección contra bots para bloquear scripts de fuerza bruta como el que ellos usaron.

Tras ponerse en contacto con Amadeus en relación con la violación de la seguridad detectada en su sistema de reservas en línea, la empresa emitió la siguiente declaración:

En Amadeus, damos la máxima prioridad a la seguridad y controlamos y actualizamos constantemente nuestros sistemas. Nuestros equipos técnicos tomaron medidas inmediatas y ahora podemos confirmar que el problema está resuelto. Para reforzar aún más la seguridad, hemos añadido un PTR de recuperación para evitar que un usuario malintencionado acceda a la información personal de los viajeros. Lamentamos cualquier inconveniente que esta situación pudiera haber causado.

Con información de: Bleeping Computer.