Индийская авиакомпания Akasa Air раскрыла секретные файлы тысяч клиентов

Akasa Air, новая индийская авиакомпания, которая начала свою деятельность в начале этого месяца, раскрыла личные данные тысяч своих клиентов из-за технического сбоя, затронувшего ее службу входа и регистрации.

Раскрытые данные, обнаруженные исследователем кибербезопасности Ашутошем Баротом, включали полные имена, пол, адреса электронной почты и номера телефонов клиентов, регистрирующихся и входящих на веб-сайт Akasa Air.

Исследователь обнаружил утечку данных через HTTP-запрос через несколько минут после посещения веб-сайта Akasa Air в день открытия 7 августа. Сначала он пытался напрямую связаться с службой безопасности авиакомпании, базирующейся в Мумбаи, но не смог найти прямого контакта. контакт.

"Я связался с авиакомпанией через их официальную учетную запись в Твиттере, попросив у них идентификатор электронной почты, чтобы сообщить о проблеме. Они дали мне идентификатор электронной почты info@akasa, на который я не делился подробностями об уязвимости, поскольку ее можно было устранить. сотрудниками службы поддержки или сторонними поставщиками, поэтому я снова отправил им электронное письмо и попросил [авиакомпанию] предоставить [] адрес электронной почты от члена их службы безопасности. Я не получил никаких дальнейших сообщений от Akasa», — сказал исследователь.

Не получив ответа от авиакомпании о том, как связаться со службой безопасности, исследователь уведомил TechCrunch о проблеме.

Akasa Air быстро отреагировала на обращение и признала, что проблема поставила под угрозу 34 533 уникальных записей о клиентах. Авиакомпания также заявила, что раскрытые данные не включают информацию о поездках или платежные записи.

Узнав об инциденте, Akasa Air закрыла свою регистрационную службу. Авиакомпания также сообщила, что добавила дополнительные проверки перед возобновлением обслуживания пассажиров.

Кроме того, авиакомпания сообщила TechCrunch, что проводит дополнительные проверки, чтобы обеспечить безопасность всех своих систем.

Akasa Air сообщила об инциденте центральному агентству кибербезопасности Индии CERT-In и проинформировала своих пострадавших пользователей в заявлении, которое оно также опубликовало в воскресенье. Он посоветовал пользователям «осведомляться о возможных попытках фишинга» из-за раскрытия данных. Кроме того, он подтвердил TechCrunch, что не видел в данных никаких «нежелательных всплесков доступа».

«В Akasa Air системная безопасность и защита информации о клиентах имеют первостепенное значение, и наша цель — всегда обеспечивать безопасное и надежное обслуживание клиентов. Несмотря на наличие обширных протоколов для предотвращения инцидентов такого рода, мы приняли дополнительные меры. шаги, чтобы обеспечить дальнейшее укрепление безопасности всех наших систем. Мы продолжим поддерживать наши надежные протоколы безопасности, взаимодействуя по мере необходимости с партнерами, исследователями и экспертами по безопасности, в том числе мы можем извлечь выгоду из укрепления наших систем», — сказал Ананд Шринивасан, соавтор основатель и директор по информационным технологиям Akasa Air.

"Я рад, что авиакомпания решила проблему в короткие сроки и сообщила об этом в CERT-In, а также проинформировала своих клиентов об инциденте, что является образцовым шагом", — сказал исследователь.

Случаи раскрытия и утечки данных становятся обычным явлением в Индии, которая ранее в этом месяце отозвала последнюю версию своего закона о защите данных. У ряда национальных компаний в стране также нет специальных программ для вознаграждения и стимулирования исследователей, помогающих находить недостатки в их системах.