Atostogų planavimas susideda iš daugelio etapų – nuo skrydžio bilietų pirkimo, viešbučio rezervacijos iki papildomų pramogų ar ekskursijų įsigijimo. Kiekviena iš šių paslaugų gali pareikalauti keliautojo duomenų, todėl asmeninė informacija pasklinda po daugybę skirtingų sistemų.
Bendras kibernetinio saugumo bendrovės tyrimas atskleidžia šio reiškinio mastą. „NordLayer Intelligence“ tyrėjai aptiko 119,4 mln. keliautojų įrašų, susijusių su 494 kelionių sektoriaus duomenų nutekėjimais, užfiksuotais nuo 2021 m. sausio iki 2026 m. rugpjūčio. Nutekėjimai įvyko oro linijų, viešbučių, užsakymų platformų, ekskursijų ir pramogų teikėjų, taip pat automobilių nuomos, kruizų ir geležinkelio bendrovėse.
„Kelionės šiandien – tai tarpusavyje susietas tinklas, o kiekviena bendrovė, kuriai atiduodate savo duomenis, yra dar viena vieta, kur gali įvykti incidentas, – sako „NordVPN“ technologijų vadovas Marijus Briedis. – Neramu ne tik dėl to, kaip dažnai nutekinami keliautojų įrašai, bet ir dėl to, kas juose yra. Slaptažodį po pažeidimo pakeisti paprasta, tačiau vardo, pavardės ar gimimo datos nepakeisi – ši tapatybės informacija lydi visą gyvenimą.“
Susiję straipsniai
Nutekėję kelionių duomenys gali atskleisti kur kas daugiau nei prieigą prie vienos paskyros
Tyrimas rodo, kokie išsamūs gali būti nutekinami kelionių duomenys. Iš analizuotų duomenų rinkinių 92 proc. atskleidė pilnus vardus ir pavardes, 87 proc. – telefono numerius, 78 proc. – adresus. Gimimo datos buvo nutekintos daugiau nei pusėje atvejų (55 proc.), o slaptažodžiai – 46 proc. rinkinių. Pilietybė nurodyta 19 proc. atvejų, o asmens tapatybės dokumentų duomenys – 11 proc..
Tokia informacija atskleidžia kur kas daugiau nei nutekėjusio el. pašto adreso ir slaptažodžio derinys. Kelionių įmonės gali žinoti ne tik kaip su klientu susisiekti, bet ir kur jis gyvena, kada gimė bei kitas su jo tapatybe susijusias detales. Šie duomenys gali būti saugomi dar ilgai po kelionės – net ir tada, kai pati paskyra seniai pamiršta.
„Keliautojas paslauga gali pasinaudoti tik kartą, tačiau joje palikti asmens duomenys gali išlikti dar daugelį metų“, – sako „Saily“ vadovas Vykintas Maknickas. „Galite vieną kartą užsisakyti pramogą ir daugiau niekada neapsilankyti toje svetainėje, tačiau jūsų pateikta informacija gali būti saugoma paslaugos teikėjo sistemose metų metus. Todėl vienkartinėmis kelionių paslaugomis lengva pamiršti pasinaudojus, tačiau jų poveikis jūsų privatumui gali būti ilgalaikis.“
Silpniausia grandis – įmonė, kurios paslaugomis pasinaudojote vieną kartą
Tyrimas atskleidė dvi skirtingas duomenų saugumo rizikas kelionių sektoriuje: vienos įmonės su duomenų nutekėjimais susiduria dažniau, o kitų saugumo spragos gali atskleisti kur kas daugiau informacijos.
Užsakymų platformos, internetinės kelionių agentūros, kelionių organizatoriai ir pramogų teikėjai sudarė 55,5 proc. visų analizuotų duomenų nutekėjimo atvejų. Šiai grupei priklauso įvairios įmonės – nuo mažų agentūrų ir regioninių kelionių organizatorių iki pramogų bei turizmo paslaugų teikėjų. Kai kurios jų vis dar naudoja senesnes arba nepakankamai prižiūrimas internetines sistemas, kurios gali būti lengviau pažeidžiamos.
Oro linijų situacija kitokia. Tyrėjai nustatė tik 21 oro linijų duomenų saugumo pažeidimą, tačiau per vieną tokį incidentą vidutiniškai nutekėjo apie 1,2 mln. įrašų. Palyginimui, vieno užsakymų platformos, internetinės kelionių agentūros, kelionių organizatoriaus ar pramogų teikėjo incidento metu vidutiniškai nutekėjo apie 107 tūkst. įrašų.
Taigi užsakymų ir kelionių paslaugų sektoriuje pažeidimų pasitaikė maždaug 13 kartų dažniau nei oro linijose. Tačiau vieno vidutinio oro linijų duomenų nutekėjimo metu atskleista daugiau nei 11 kartų daugiau įrašų.
Duomenų nutekėjimai kelia grėsmę visam kelionių sektoriui, o ne tik atskiroms jo dalims. Automobilių nuomos, kruizų ir geležinkelių bendrovėms teko 27,7 proc. visų nutekintų įrašų, užsakymų ir kelionių organizavimo įmonėms – 24,6 proc., viešbučiams ir kurortams – 23,7 proc., o oro linijoms – 21,2 proc..
„Didelė įmonė nebūtinai reiškia, kad jūsų duomenys yra labiau apsaugoti“, – sako M. Briedis. „Mažesni paslaugų teikėjai gali būti lengvesnis kibernetinių nusikaltėlių taikinys, o vienas didelės oro linijų bendrovės saugumo pažeidimas gali atskleisti milijonų žmonių duomenis. Keliautojams svarbu suprasti, kad jų asmens duomenų saugumas priklauso nuo kiekvienos kelionių grandinėje veikiančios įmonės, nors skirtingų įmonių keliama rizika gali skirtis.“
Kaip keliautojams sumažinti rizikas?
Keliautojai negali kontroliuoti, kaip kiekviena įmonė saugo savo sistemas, tačiau gali pasirūpinti, kad kelionių paslaugų teikėjams tektų kuo mažiau jų asmens duomenų.
Bendrovės ekspertai pataria nekurti paskyrų ten, kur jų nereikia, kiekvienai paskyrai naudoti unikalų slaptažodį ir, jei įmanoma, įjungti kelių veiksnių autentifikavimą. Taip pat rekomenduojama pašalinti išsaugotus mokėjimo duomenis ir asmens dokumentų informaciją, kai jų nebereikia. Prieš įkeliant pasui ar kitam asmens dokumentui prilygstančio dokumento kopiją, verta įsitikinti, ar paslaugos teikėjui jos tikrai reikia.
„Grįžę namo peržiūrėkite senas užsakymų, ekskursijų, automobilių nuomos ir kitas su kelionėmis susijusias paskyras. Nebenaudojamas paskyras ištrinkite ir paprašykite paslaugų teikėjų pašalinti su jomis susijusius jūsų asmens duomenis. Taip sumažinsite informacijos, kuri lieka įmonių sistemose, nors jų paslaugomis galbūt daugiau niekada nebesinaudosite, kiekį“, – pataria Maknickas.
Metodologija: Tyrimą atliko „NordVPN“ ir „Saily“ tyrėjai, pasitelkę grėsmių valdymo platformą „NordLayer Intelligence“. Buvo išanalizuoti istoriniai duomenų nutekėjimų duomenys nuo 2021 m. sausio 1 d. iki 2026 m. rugpjūčio 18 d., identifikuojant incidentus oro linijų, viešbučių ir kurortų, internetinių kelionių agentūrų, ekskursijų ir pramogų teikėjų, lojalumo programų, automobilių nuomos, kruizų ir geležinkelio bendrovių duomenų bazėse. Kiekvienas pažeidimas klasifikuotas pagal nukentėjusios organizacijos pavadinimą, domeną ir aprašymą, o didžiausi incidentai papildomai patikrinti – atmesti klaidingi teigiami rezultatai. Nutekėjimo mastas vertintas pagal unikalių paviešintų el. pašto adresų skaičių: iš viso 494 su kelionėmis susijusių duomenų nutekėjimų metu paviešinta 119,4 mln. keliautojų įrašų. Tyrimo rezultatai atspindi tik „NordLayer Intelligence“ užfiksuotus nutekėjimus ir neatspindi viso pasaulinio kelionių sektoriaus duomenų nutekėjimų masto.