Článek
Šest znaků otevřelo společnou rezervaci
Rodina se na Instagramu pochlubila chystanou dovolenou. Kufry, děti a v ruce palubní vstupenka – klasická fotografie, jakých před prázdninami vznikají tisíce. Jenže na snímku zůstal viditelný šestimístný rezervační kód. Příjmení přitom nebylo těžké zjistit, stálo přímo u profilu.
Právě tato kombinace může u některých dopravců otevřít správu celé rezervace. Například British Airways uvádějí, že k přístupu stačí rezervační kód a příjmení cestujícího. Nejde tedy o prolomení hesla ani složitý útok na systém aerolinky. Člověk pouze použije údaje, které mu cestující sám ukázal.
Pokud jsou rodiče a děti vedeni pod jedním rezervačním kódem, problém se nemusí týkat jen autora fotografie. Ve stejné rezervaci mohou být všichni cestující, navazující lety i přikoupené služby. Neoprávněný návštěvník může podle možností konkrétní aerolinky změnit kontaktní údaje, sedadla či termín, rozdělit cestující, nebo let úplně zrušit.
Takové možnosti nejsou nijak skryté. Qantas ve správě rezervace výslovně uvádí změnu a rušení letů, úpravu kontaktních údajů, oddělení cestujících nebo nákup dalších služeb. Co přesně jde provést bez dodatečného ověření, se liší podle dopravce a tarifu. Spoléhat na to, že aerolinka vždy pošle potvrzovací kód na telefon, proto není rozumné.
Čárový a QR kód nejsou pouhá grafika
Viditelné jméno lze na fotografii začernit a lidé mají pocit, že tím vše vyřešili. Tady je háček. Rezervační údaje se mohou ukrývat také v čárovém nebo QR kódu, který telefon přečte i z fotografie na monitoru. Rozmazání od oka navíc nemusí stačit, pokud velká část kódu zůstane neporušená.
Bezpečnostní analytik Brian Krebs už při rozboru údajů v kódu palubní vstupenky ukázal, že z něj lze podle dopravce získat například jméno, číslo věrnostního programu nebo rezervační kód. Rozsah není u všech aerolinek stejný, takže nelze tvrdit, že každý QR kód obsahuje číslo pasu, telefon a kompletní osobní spis. Bezpečný ale automaticky není.
Tohle si lidé často pletou: číslo letu a číslo rezervace nejsou totéž. Číslo letu je veřejný údaj, podle kterého může příbuzný sledovat přílet. Rezervační kód neboli PNR je naopak klíčem ke konkrétní cestě a veřejně se sdílet nemá.
Stejně tak fotografie palubní vstupenky obvykle nestačí k tomu, aby cizí člověk jednoduše odletěl místo jejího majitele. Na letišti se kontroluje totožnost a letenky nebývají volně přenosné. Mnohem snazší je způsobit cestujícímu potíže na dálku: zasáhnout do rezervace, přesměrovat komunikaci nebo vyvolat zrušení letu.
Soukromý instagramový profil přitom není neprůstřelná ochrana. Příspěvek může někdo přeposlat, pořídit si snímek obrazovky nebo jej ukázat dalším lidem. U veřejných stories stačí několik minut a kopie už nemusí být pod kontrolou autora.
Po zveřejnění nestačí obrázek jen smazat
Kdo zjistí, že dal na síť čitelnou letenku, měl by příspěvek okamžitě odstranit a zkontrolovat rezervaci přímo v aplikaci nebo na webu aerolinky. Důležité je ověřit termíny, jména cestujících, sedadla, zavazadla i kontaktní e-mail a telefon. Pokud se cokoli změnilo, je lepší volat dopravci přes číslo uvedené na jeho oficiálním webu.
Má smysl aerolinku požádat, zda může rezervaci zabezpečit nebo vystavit nový rezervační kód. Ne každý dopravce to umožní, zvlášť krátce před cestou. Pokud je let veden také v zákaznickém účtu, patří ke změně hesla i zapnutí dvoufázového ověření, je-li dostupné. Při neoprávněné platbě je nutné kontaktovat rovněž banku a uchovat si e-maily i snímky provedených změn.
Do budoucna je nejbezpečnější doklady nefotit vůbec. Pokud už mají být součástí snímku, je nutné neprůhledně zakrýt jméno, rezervační kód, číslo letenky, QR či čárový kód a číslo věrnostního programu. Pozor také na obrazovku telefonu v pozadí a potvrzovací e-mail, který může obsahovat stejné údaje.
Národní úřad pro kybernetickou a informační bezpečnost dlouhodobě připomíná, že osobními informacemi mohou být i zdánlivě obyčejné fotografie na sociálních sítích. U letenky to platí dvojnásob. Pro sledující je to vzpomínka na začátek dovolené, pro cizího člověka někdy rovnou přístupový údaj.
Další zdroje:
Komerční weby British Airways a Qantas
