חשש לפירצת אבטחה חמורה במערכות המידע של חברות התעופה

חשש לפירצת אבטחה חמורה במערכות המידע של חברות התעופה - כך מפרסמים עידו קינן ונעם רותם בפודקאסט "סייברסייבר". הפודקאסט מספר על את סיפורו של נעם, שהזמין טיסה לקייב עם אל על.

ללינק שנשלח אליו במייל לאישור רכישת הכרטיס שלו באל על צורף מספר זיהוי, שבאמצעותו הוא יכול לנהל את ההזמנה שלא באתר אל על. נעם גילה כי בשינוי פשוט של אותו מספר זיהוי הוא מצליח להגיע להזמנות של נוסעים אחרים וכשהוא אפילו יכול לעשות בהם שינויים (מה שהוא לא עשה, למרות היותו האקר). נעם אף הצליח להיכנס להזמנה של חבר שרכש טיסה, ושינה לו את הארוחות למנות "גלאט כושר טבעוניות" - לא פחות.

אם אותו חבר לא היה חושף את מספר ההזמנה המזהה שלו בהודעת וואטסאפ שהתגלגלה לידי נעם, הוא גילה שיכול היה לאתר את ההזמנה בעצמו. למעשה, הוא גילה שאם יריץ את כל צירופי האותיות והמספרים האפשריים למזהה הייחודי הוא יוכל לשאוב את כל מאגר הנוסעים של אל על. המזל הוא - שהוא לא עשה את זה ובמקום זאת הוא פנה לאל על, שלקחה את הנושא במלוא הרצינות.

המערכת שבה משתמשת אל על היא של חברת אמדאוס, שמחזיקה ב-44% משוק ה-GDS (מערכות הפצה גלובליות). אמדאוס היא חברת אירופאית שמספקת פתרונות טכנולוגיים לענף הנסיעות הגלובלי דרך ספקים וסיטונאים ומשווקי תיירות לרבות סוכנויות נסיעות ואתרי נסיעות. מחזור המכירות של החברה בעולם עומד על 5.8 מיליארד אירו. הקבוצה מעסיקה כ- 16,000 עובדים ברחבי העולם מאתרים מרכזיים בספרד (מטה החברה), ניס (פיתוח) וארדינג (תפעול) וכן ב-70 ארגונים מסחריים של אמדאוס בכל העולם ובכללם משרד בישראל.

מחברת אל על נמסר בתגובה: "אל על קיבלה פנייה מלקוח של החברה המתמחה בתום הסייבר, ממנה עולה חשש לליקוי אבטחת מידע. הלקוח מסר כי לא עשה ואינו מתכוון לעשות שימוש במידע אליו נחשף, וכי מטרת הפנייה היא בחינת הליקוי במטרה לתקנו. החברה התייחסה במלוא הרצינות לדיווח וביצעה בדיקות מידיות, אשר לאחריהן פנתה לדרגים הבכירים של ספק המערכת, שנרתם ותיקן את הליקוי בזמן קצר.

"יצוין כי מדובר במערכת בעלת רמת אבטחה גבוהה המשמשת חברות תעופה רבות בעולם. אל על מייחסת חשיבות רבה לאבטחת מידע ולהגנה על מאגרי המידע שלה ומשקיעה משאבים רבים בתחום".

קינן ורותם פנו לתגובת חברת אמדאוס, אותה צירפו לפודקאסט: "אבטחת מידע נמצאת בעדיפות עליונה באמדאוס, ואנחנו מנטרים ומעדכנים את המערכות שלנו כל הזמן. הצוותים הטכניים שלנו פעלו מיידית, ואנו יכולים לאשר כעת שהסוגיה נפתרה. כדי לחזק את האבטחה הוספנו Recovery PTR כדי למנוע ממשתמשים זדוניים גישה למידע הפרטי של הנוסעים. אנחנו מתנצלים על כל אי-הנוחות שעלולה הייתה להיגרם בגלל המצב הזה".

ונעם סיכם: "אני מודה בבושה שאני לא מבין עד הסוף מה התיקון שהם עשו, אבל הי - זו חברה ששווה מיליארדים, הם בטח יודעים על מה הם מדברים". ואנחנו נסכם שטוב שהפעם הדברים התגלגלו לידי האקר הגון שבחר שלא להשתמש במידע שהיה לו נגיש, ואפילו מדי.