מסד הנתונים נקרא pax-info, שוקל כ-107 ג'יגה-בייט, ומכיל שם מלא, תאריך לידה, מין, אזרחות, מספר דרכון ותאריך תפוגה שלו, לצד מספר הטיסה, חברת התעופה, שדות המוצא, היעד והביניים, ואפילו מספר המושב. חברת המחקר Kinryū Labs מצאה אותו פתוח לגישה ברשת ביוני, וסופרת בו 210,318,069 רשומות של נוסעים ועוד 10,465,631 של אנשי צוות. הרשומות מכסות טיסות מינואר 2017 ועד אפריל 2026.

מה קרה

לפני כל טיסה בינלאומית חברת התעופה מעבירה לרשויות במדינת היעד את פרטי הנוסעים שעל המטוס: מי הם, מתי נולדו, ומה מספר הדרכון שלהם. למערכת שאוספת את המידע הזה קוראים APIS, והיא פועלת כך כמעט בכל העולם. מסד הנתונים שנמצא נראה כמו מערכת APIS שקשורה לגורם וייטנאמי, והוא ישב על כתובות IP של חברת Viettel בהאנוי. BleepingComputer, שפרסם את הממצאים, לא הצליח לאמת איזה ארגון וייטנאמי בדיוק הפעיל אותו, והרשויות בווייטנאם לא הגיבו לפניותיו.

הדרך פנימה מורכבת משתי טעויות הגדרה שהצטרפו יחד. מהאינטרנט הפתוח המערכת דווקא סירבה לשתף פעולה והחזירה תשובת "אין הרשאה". אבל דרך נתיב גישה אחר, דרך הענן, אפשר היה להגיע לאותו מסד נתונים, ושם הוא קיבל את שם המשתמש והסיסמה שמגיעים עם התוכנה כברירת מחדל ואיש לא טרח להחליף.

החוקרים דיווחו לרשויות בווייטנאם, לחברות התעופה שהופיעו בנתונים ולצוותי חירום לאומיים ב-3 ביוני, והגישה נחסמה ב-8 בו. צוות האבטחה של סינגפור איירליינס סייע בתיאום התגובה. מה שלא ידוע גדול ממה שידוע: כמה זמן המידע היה נגיש בפועל, ואם מישהו הספיק להעתיק אותו. החוקרים אומרים שלא מצאו על השרת הודעות כופר או סימנים לפעילות זרה, אבל בלי גישה ליומני השרת אי אפשר לקבוע זאת בוודאות.

למה זה חשוב לכם

ווייטנאם היא יעד מוכר מאוד לישראלים, והמסד מכסה כל מי שטס אליה, ממנה או דרכה בתשע השנים האלה. עם זאת, החוקרים לא סיפקו פילוח לפי אזרחות, ובדגימות שנבדקו זוהו נוסעים קוריאנים, סינים, קנדים וניו-זילנדים. אין כרגע אישור שרשומות של ישראלים נמצאות שם. הרשומות סופרות טיסות ולא אנשים, כך שמי שטס כמה פעמים מופיע יותר מפעם אחת.

ההבדל בין דליפה כזאת לדליפת סיסמאות הוא שסיסמה מחליפים בדקה. מספר דרכון נשאר איתכם עד שהדרכון מתחלף, והשילוב שלו עם תאריך לידה ופרטי טיסה אמיתיים הוא חומר גלם מצוין להתחזות ולהודעות פישינג שנשמעות אמינות במיוחד.

מה עושים?

אם אתם מקבלים הודעה על טיסה, החזר או שדרוג, אל תתייחסו לפרטים נכונים בתוכה כהוכחה שהפונה אמיתי. תוקף שמחזיק ברשומת טיסה יודע את מספר הטיסה ואת המושב בדיוק כמוכם.

אל תלחצו על קישורים בהודעות כאלה. היכנסו לאפליקציה של חברת התעופה או הקלידו את כתובת האתר שלה ידנית, ובדקו שם.

הגדירו לחשבון הנוסע המתמיד שלכם סיסמה ייחודית ואימות דו-שלבי. נקודות שנצברות נגנבות ונמכרות, וחשבון כזה מכיל גם את פרטי הדרכון שלכם.

אם הדרכון שלכם עומד לפוג ממילא, שימו לב שדרכון חדש מקבל מספר חדש, וכך הרשומה הישנה מאבדת חלק מהערך שלה.

המסד הזה נסגר ביוני. מה שיצא ממנו קודם, אם יצא, ימשיך להסתובב הרבה אחרי שהטיסות עצמן נשכחו.