Nhà nghiên cứu an ninh mạng Israel Noam Rotem đã phát hiện ra lỗ hổng khi anh đặt chuyến bay trên hãng hàng không ELAL của Israel. Lỗ hổng này nằm trong hệ thống đặt vé máy bay trực tuyến do Amadeus phát triển hiện đang được sử dụng bởi 141 hãng hàng không quốc tế,ỗhổnghệthốngđặtvéảnhhưởnghãnghàngkhôngtrênthếgiớlịch âm tháng 1 trong đó có các hãng lớn như United Airlines, Lufthansa và Air Canada.

Rotem cho biết vấn đề nằm ở số vé điện tử (PNR) và liên kết duy nhất cho phép khách hàng kiểm tra trạng thái đặt chỗ và thông tin liên quan liên quan đến số PNR đó. Anh nhận thấy rằng chỉ bằng cách thay đổi giá trị của tham số "RULE_SOURCE_1_ID" trên liên kết đó với số PNR của người khác thì thông tin cá nhân cũng như mọi chi tiết khách hàng mang số PNR đó đều hiển thị.

Đọc đến đây có vẻ như bạn sẽ nghĩ miễn là mã PNR không bị lộ thì cũng chẳng sao! Vấn đề chưa dừng lại ở đó. Rotem cũng phát hiện ra rằng cổng thông tin Amadeus không sử dụng bất kỳ biện pháp bảo mật nào để ngăn chặn các cuộc tấn công truy tìm các mã PNR.

Lỗ hổng hệ thống đặt vé ảnh hưởng 141 hãng hàng không trên thế giới

"Sau khi chạy một đoạn script nhỏ và hoàn toàn không bị chặn bởi một hệ thống an ninh nào, anh có thể tìm thấy PNR của rất nhiều khách hàng ngẫu nhiên, bao gồm tất cả thông tin cá nhân của họ", Rotem nói thêm. Chỉ cần nắm rõ nguyên lý của mã PNR, rất dễ dàng để dò ra rất nhiều mã vé điện tử này.

Do hệ thống đặt phòng Amadeus đang được ít nhất 141 hãng hàng không sử dụng, nên lỗ hổng này có thể đã ảnh hưởng đến hàng trăm triệu khách du lịch. Sau khi phát hiện ra lỗ hổng bảo mật, Rotem đã ngay lập tức liên lạc với ELAL để chỉ ra mối đe dọa và đề nghị hãng hàng không sử dụng thêm các biện pháp bảo mật reCaptcha, chặn bot/spam,...

Amadeus hiện đã khắc phục sự cố và đoạn script của Rotem không còn hoạt động được. Đồng thời Amadeus cho biết công ty cũng đã thêm vào một hệ thống Recovery PTR để tăng cường bảo mật hơn nữa và "ngăn chặn các đối tượng truy cập thông tin cá nhân của khách du lịch".

Năm 2016, một lỗ hổng tương tự cũng được phát hiện với một hệ thống khác. Lỗ hỗng này cho phép các tin tặc có thể chiếm đoạt những mã đặt vé máy bay, sau đó thay đổi thông tin khách hàng và cướp một chuyến bay "miễn phí" cực kỳ đơn giản.

Dù vấn đề đã được giải quyết nhưng có thể thấy thông tin cá nhân của người dùng luôn là “mồi ngon” của bất kỳ đối tượng nào. Nó cũng cho thấy bạn phải luôn cần chú ý bảo vệ dữ liệu cá nhân của mình nhiều hơn. Ví dụ nếu bạn có thói quen “khoe” trên Facebook thì ở trường hợp trên bạn có thể đã chia sẻ bức ảnh vé máy bay kèm theo mã PNR của mình. Khi làm như vậy vô tình bạn biến mình thành nạn nhân cho những đối tượng chuyên khai thác thông tin cá nhân.

An Nhiên (theo The Hacker News)

Facebook sắp “hết cửa” thu thập dữ liệu người dùng tại Đức

Tờ Bild am Sonntag đưa tin cơ quan giám sát chống độc quyền Đức đang lên kế hoạch yêu cầu Facebook ngừng thu thập một số thông tin nhạy cảm của người dùng.

• ·Kèo vàng bóng đá Everton vs Aston Villa, 02h30 ngày 16/1: Khởi đầu suôn sẻ
• ·Nghệ sĩ 9X đầu tiên biểu diễn ở Hòa nhạc Hennessy
• ·Nhận định, soi kèo Naft Al Basra vs Erbil SC, 23h00 ngày 18/12
• ·Nhận định, soi kèo Manama Club vs Najma Manama, 22h30 ngày 18/12
• ·Kèo vàng bóng đá West Ham vs Fulham, 02h30 ngày 15/1: Khách đáng tin
• ·Quang Vinh ra mắt MV nhân ngày sinh nhật mình
• ·Trường Vũ tổ chức liveshow Tuý ca kỷ niệm 20 năm ca hát
• ·MC Thảo Vân: Lần hiếm hoi MC Thảo Vân khoe giọng trầm ấm thổn thức
• ·Siêu máy tính dự đoán Newcastle vs Wolves, 2h30 ngày 16/1
• ·Nhận định, soi kèo U21 Charlton vs U21 Bournemouth, 20h00 ngày 18/12
• ·Cuộc sống như mơ bên gia tài đồ sộ của Thanh Thảo ở Mỹ
• ·Lưu Đức Hoa xác nhận tổ chức live concert năm 2018
• ·Nhận định, soi kèo Damac vs Al
• ·Cuộc sống hiện tại của Phương Mỹ Chi sau 4 năm nổi tiếng
• ·Nhận định, soi kèo Iraklis 1908 vs Makedonikos FC, 19h00 ngày 18/12
• ·Hoàng Thùy Linh giàu không kém bất kỳ đại gia nào