Airportr ช่องโหว่ความปลอดภัยข้อมูลการเดินทางที่กระทบถึงระดับนักการทูต
ในโลกของการจารกรรมข้อมูล การโจมตีสายการบินโดยตรงอาจเป็นเป้าหมายที่น่าดึงดูด แต่สิ่งที่อันตรายและแนบเนียนกว่าคือการเข้าถึง บริการเสริมระดับพรีเมียม ที่เชื่อมต่อกับหลายสายการบิน ซึ่งมักเป็นที่นิยมในกลุ่มบุคคลสำคัญ เช่น นักการทูตและเจ้าหน้าที่ระดับสูงของรัฐบาล
กรณีล่าสุดที่สร้างความกังวลคือการค้นพบช่องโหว่ร้ายแรงใน Airportr บริการรับส่งและเช็คอินกระเป๋าเดินทางในสหราชอาณาจักรและยุโรป ซึ่งร่วมมือกับสายการบินชั้นนำเพื่อให้ผู้ใช้ได้รับความสะดวกสบายในการเดินทาง แต่ความสะดวกนี้กลับแลกมาด้วยความเสี่ยงด้านความปลอดภัยของข้อมูลที่น่าตกใจ
การค้นพบช่องโหว่โดยทีมวิจัย CyberX9
ทีมผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จาก CyberX9 พบว่าเว็บไซต์ของ Airportr มีข้อผิดพลาดทางเทคนิคที่เรียบง่ายแต่รุนแรง ซึ่งช่วยให้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้เกือบทั้งหมดได้ รวมถึงแผนการเดินทางอย่างละเอียด และที่ร้ายแรงที่สุดคือการได้รับสิทธิ์ Super-admin หรือผู้ดูแลระบบสูงสุด
Himanshu Pathak ซีอีโอของ CyberX9 ระบุว่า การเข้าถึงระดับผู้ดูแลระบบนี้ทำให้แฮกเกอร์สามารถควบคุมการดำเนินงานทุกอย่างของบริษัทได้ ไม่ว่าจะเป็นการเข้าถึงข้อมูลลับของลูกค้าในทุกประเทศ หรือแม้แต่การสั่งเปลี่ยนเส้นทางและขโมยกระเป๋าเดินทางที่อยู่ระหว่างการขนส่ง
ข้อมูลที่รั่วไหลและผลกระทบต่อบุคคลสำคัญ
จากการตรวจสอบตัวอย่างข้อมูลที่ CyberX9 แบ่งปันกับ WIRED พบว่ามีข้อมูลของเจ้าหน้าที่รัฐและนักการทูตจาก สหราชอาณาจักร สวิตเซอร์แลนด์ และสหรัฐอเมริกา รั่วไหลออกมา โดยพบภาพถ่ายหน้าหนังสือเดินทางทูต (Diplomatic Passports) ของบุคคลสำคัญ เช่น เอกอัครราชทูตสหราชอาณาจักร และเจ้าหน้าที่ด้านความปลอดภัยทางไซเบอร์ระดับบริหารของสหรัฐฯ
ข้อมูลที่ถูกเข้าถึงได้ประกอบด้วย:
- ชื่อ-นามสกุล, เบอร์โทรศัพท์ และที่อยู่บ้าน
- ประวัติและแผนการเดินทางโดยละเอียด
- ตั๋วเครื่องบิน, บัตรขึ้นเครื่อง (Boarding Pass) และรายละเอียดเที่ยวบิน
- รูปถ่ายหนังสือเดินทางและลายเซ็น
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนผู้ใช้งาน | ประมาณ 92,000 ราย |
| จำนวนกระเป๋าที่เคยจัดการ | มากกว่า 800,000 ใบ |
| สายการบินพันธมิตรหลัก | American Airlines, British Airways, Lufthansa, Virgin Atlantic |
| ระดับความรุนแรง | เข้าถึงสิทธิ์ผู้ดูแลระบบสูงสุด (Super-admin) |
| กลุ่มเสี่ยงที่ได้รับผลกระทบ | ผู้โดยสารทั่วไป และนักการทูตจาก 3 ประเทศหลัก |
กลไกการโจมตีทางเทคนิค
นักวิจัยพบว่าช่องโหว่เกิดจากจุดบกพร่องพื้นฐานทางเว็บ โดยแฮกเกอร์สามารถดักจับ API Key (รหัสเชื่อมต่อระหว่างแอปพลิเคชัน) ในขณะที่สมัครสมาชิก เพื่อนำไปใช้เปลี่ยนรหัสผ่านของผู้ใช้รายอื่นได้เพียงแค่ทราบอีเมล นอกจากนี้ เว็บไซต์ยังขาดระบบ Rate Limiting หรือการจำกัดจำนวนครั้งในการส่งคำขอ ซึ่งทำให้แฮกเกอร์สามารถใช้โปรแกรมสุ่มเดาอีเมลเพื่อยึดบัญชีผู้ใช้จำนวนมากได้อย่างรวดเร็ว
นอกจากนี้ การเข้าถึงบัญชีผู้ดูแลระบบยังเปิดโอกาสให้แฮกเกอร์สามารถส่งอีเมลหรือข้อความในนามของ Airportr เพื่อทำ Phishing (การหลอกลวงทางออนไลน์เพื่อขโมยข้อมูล) หรือแม้แต่ใช้ข้อมูลที่ได้ไปเข้าถึงบัญชีของลูกค้าบนเว็บไซต์สายการบินเพื่อยกเลิกเที่ยวบิน
การตอบสนองจาก Airportr และมุมมองด้านความปลอดภัย
Randel Darby ซีอีโอของ Airportr ยอมรับการค้นพบนี้และระบุว่าได้ปิดส่วนที่มีปัญหาและแก้ไขภายในไม่กี่วันหลังจากได้รับแจ้งเมื่อเดือนเมษายน โดยยืนยันว่าข้อมูลที่รั่วไหลเป็นเพียงข้อมูลของ Airportr เท่านั้น ไม่ได้ส่งผลกระทบต่อระบบภายในของสายการบินพันธมิตร เนื่องจาก API ที่ใช้เป็นแบบ Read-only (อ่านได้อย่างเดียว) ไม่สามารถแก้ไขข้อมูลเที่ยวบินได้
อย่างไรก็ตาม ทางบริษัทไม่ได้แจ้งเหตุการณ์นี้ให้ลูกค้าหรือสายการบินทราบในทันที โดยอ้างว่าเป็นเหตุการณ์ที่มีความเสี่ยงต่ำ แต่ภายหลังได้ตัดสินใจแจ้งต่อ Information Commissioner's Office (ICO) ซึ่งเป็นหน่วยงานกำกับดูแลข้อมูลของสหราชอาณาจักรเพื่อเป็นการป้องกันไว้ก่อน
ข้อเท็จจริงสำคัญ
- ช่องโหว่ร้ายแรง: แฮกเกอร์สามารถยึดสิทธิ์ผู้ดูแลระบบสูงสุดเพื่อควบคุมข้อมูลและพัสดุได้
- ข้อมูลอ่อนไหว: มีการรั่วไหลของภาพหนังสือเดินทางทูตและข้อมูลการเดินทางของเจ้าหน้าที่ระดับสูง
- จุดบกพร่องทางเทคนิค: ขาดระบบ Rate Limiting และมีช่องโหว่ในการจัดการ API Key สำหรับเปลี่ยนรหัสผ่าน
- ความเสี่ยงจากบุคคลที่สาม: เหตุการณ์นี้ชี้ให้เห็นว่าบริการเสริมที่สายการบินแนะนำอาจเป็นจุดอ่อนที่สุดในห่วงโซ่ความปลอดภัยของข้อมูล
คำถามที่พบบ่อย
ข้อมูลใดบ้างที่ถูกแฮกเกอร์เข้าถึงได้?
ข้อมูลที่รั่วไหลครอบคลุมทั้งชื่อ ที่อยู่ เบอร์โทรศัพท์ แผนการเดินทาง ตั๋วเครื่องบิน บัตรขึ้นเครื่อง รวมถึงรูปถ่ายหนังสือเดินทางและลายเซ็นของผู้ใช้งาน
ผู้ใช้งานทั่วไปได้รับผลกระทบอย่างไร?
ผู้ใช้งานเสี่ยงต่อการถูกขโมยข้อมูลส่วนบุคคล การถูกนำข้อมูลไปใช้ทำ Phishing และในกรณีร้ายแรงอาจมีการขโมยหรือเปลี่ยนเส้นทางกระเป๋าเดินทาง
สายการบินที่ร่วมรายการมีความเกี่ยวข้องอย่างไร?
แม้ระบบของสายการบินจะไม่ถูกเจาะโดยตรง แต่สายการบินเป็นผู้แนะนำบริการนี้แก่ลูกค้า ซึ่ง CyberX9 มองว่าสายการบินควรมีส่วนรับผิดชอบในการตรวจสอบความปลอดภัยของพันธมิตรที่แนะนำด้วย
ปัจจุบัน Airportr แก้ไขปัญหานี้แล้วหรือยัง?
ทางซีอีโอของ Airportr ยืนยันว่าได้ปิดส่วนที่มีช่องโหว่และดำเนินการแก้ไขระบบเรียบร้อยแล้วหลังจากได้รับแจ้งจากทีมวิจัย
ทำไมกรณีนี้ถึงเป็นอันตรายต่อนักการทูตเป็นพิเศษ?
เนื่องจากเป็นบริการระดับพรีเมียมที่ดึงดูดกลุ่มบุคคลสำคัญ ข้อมูลการเดินทางและภาพหนังสือเดินทางทูตที่รั่วไหลจึงเป็นข้อมูลที่มีค่าอย่างยิ่งสำหรับการจารกรรมข้อมูลระหว่างประเทศ
