وشملت الشركات المتأثرة الخطوط الجوية اليابانية، التي أعلنت تأثر بيانات نحو 92 ألف عميل، وشركة كاثي باسيفيك في هونغ كونغ، التي كشفت عن تأثر نحو 53 ألف حجز، إلى جانب الخطوط الماليزية وشركات طيران أخرى.

وأكدت الخطوط الماليزية، أن بعض معلومات عملائها ربما تعرضت للخطر، رغم سلامة أنظمتها الداخلية، وعدم وجود أدلة على الوصول إلى بيانات مالية.

أما "أماديوس"، فأوضحت أنها اكتشفت ثغرة أمنية في بيئة تقنية تستخدم لعرض معلومات الحجوزات، وأن التحقيقات لا تزال جارية لتحديد نطاق الحادث.

وتكشف الواقعة عن مشكلة تتجاوز الشركات المتضررة، إذ يمكن أن تتسرب معلومات المسافر من أنظمة جهة خارجية، حتى عندما تنجح شركة الطيران التي حجز معها في حماية شبكتها.

أين تذهب بياناتك بعد الحجز؟

عندما تحجز تذكرة طيران، لا تبقى معلوماتك بالضرورة داخل أنظمة الشركة الناقلة.

فصناعة السفر تعتمد على شبكة من مزودي التكنولوجيا الذين يديرون الحجوزات وإصدار التذاكر وتسجيل الوصول، ويربطون شركات الطيران بوكالات السفر والمطارات.

وتحفظ معلومات المسافر عادة في سجل يُعرف باسم "PNR"، أو سجل اسم الراكب، وقد يتضمن الاسم ورقم الحجز ومواعيد الرحلات وبيانات الاتصال.

وفي بعض الحالات، يحتوي السجل على معلومات أكثر حساسية، مثل رقم جواز السفر والجنسية وبيانات برنامج المسافر الدائم.

وهنا تكمن المشكلة، فكل جهة إضافية تستطيع الوصول إلى هذه المعلومات قد تمثل نقطة ضعف محتملة إذا لم تكن أنظمتها محمية جيدا.

ماذا يمكن أن يفعل المخترق ببياناتك؟

لا يحتاج المحتال بالضرورة إلى سرقة رقم بطاقتك المصرفية لإلحاق الضرر بك. فمعرفة اسمك وموعد رحلتك ورقم حجزك قد تساعده على إرسال رسالة احتيالية تبدو صادرة عن شركة الطيران، تطلب منك تأكيد الحجز أو دفع رسوم إضافية أو تحديث بيانات جواز السفر. وتصبح الرسالة أكثر إقناعًا عندما تتضمن تفاصيل صحيحة عن رحلة حجزتها بالفعل.

وفي حادث "أماديوس"، كشفت الخطوط اليابانية أن بيانات نحو ألفي عميل تضمنت معلومات إضافية، بينها أرقام جوازات السفر ووسائل الاتصال.
لكن الشركات المتضررة أكدت عدم وجود أدلة على تسريب معلومات الدفع، ولم يثبت حتى الآن استخدام البيانات المسربة في عمليات احتيال.

من المسؤول عن حماية المسافر؟

تتحمل شركات الطيران مسؤولية اختيار مزودي خدمات موثوقين ومراقبة طريقة تعاملهم مع بيانات العملاء، بينما تقع على الشركات التقنية مسؤولية تأمين أنظمتها وتقييد الوصول إلى المعلومات.

لكن تحديد المسؤولية القانونية والتعويضات المحتملة يعتمد على طبيعة الاختراق والقوانين والعقود المنظمة للعلاقة بين الأطراف.

أما المسافر، فيُنصح بالحذر من رسائل تغيير الحجوزات غير المتوقعة، وتجنب الروابط المجهولة، والتحقق من أي طلب للحصول على معلومات شخصية عبر الموقع أو التطبيق الرسمي لشركة الطيران.

وشملت الشركات المتأثرة الخطوط الجوية اليابانية، التي أعلنت تأثر بيانات نحو 92 ألف عميل، وشركة كاثي باسيفيك في هونغ كونغ، التي كشفت عن تأثر نحو 53 ألف حجز، إلى جانب الخطوط الماليزية وشركات طيران أخرى.

وأكدت الخطوط الماليزية، أن بعض معلومات عملائها ربما تعرضت للخطر، رغم سلامة أنظمتها الداخلية، وعدم وجود أدلة على الوصول إلى بيانات مالية.

أما "أماديوس"، فأوضحت أنها اكتشفت ثغرة أمنية في بيئة تقنية تستخدم لعرض معلومات الحجوزات، وأن التحقيقات لا تزال جارية لتحديد نطاق الحادث.

وتكشف الواقعة عن مشكلة تتجاوز الشركات المتضررة، إذ يمكن أن تتسرب معلومات المسافر من أنظمة جهة خارجية، حتى عندما تنجح شركة الطيران التي حجز معها في حماية شبكتها.

أين تذهب بياناتك بعد الحجز؟

عندما تحجز تذكرة طيران، لا تبقى معلوماتك بالضرورة داخل أنظمة الشركة الناقلة.

فصناعة السفر تعتمد على شبكة من مزودي التكنولوجيا الذين يديرون الحجوزات وإصدار التذاكر وتسجيل الوصول، ويربطون شركات الطيران بوكالات السفر والمطارات.

وتحفظ معلومات المسافر عادة في سجل يُعرف باسم "PNR"، أو سجل اسم الراكب، وقد يتضمن الاسم ورقم الحجز ومواعيد الرحلات وبيانات الاتصال.

وفي بعض الحالات، يحتوي السجل على معلومات أكثر حساسية، مثل رقم جواز السفر والجنسية وبيانات برنامج المسافر الدائم.

وهنا تكمن المشكلة، فكل جهة إضافية تستطيع الوصول إلى هذه المعلومات قد تمثل نقطة ضعف محتملة إذا لم تكن أنظمتها محمية جيدا.

ماذا يمكن أن يفعل المخترق ببياناتك؟

لا يحتاج المحتال بالضرورة إلى سرقة رقم بطاقتك المصرفية لإلحاق الضرر بك. فمعرفة اسمك وموعد رحلتك ورقم حجزك قد تساعده على إرسال رسالة احتيالية تبدو صادرة عن شركة الطيران، تطلب منك تأكيد الحجز أو دفع رسوم إضافية أو تحديث بيانات جواز السفر. وتصبح الرسالة أكثر إقناعًا عندما تتضمن تفاصيل صحيحة عن رحلة حجزتها بالفعل.

وفي حادث "أماديوس"، كشفت الخطوط اليابانية أن بيانات نحو ألفي عميل تضمنت معلومات إضافية، بينها أرقام جوازات السفر ووسائل الاتصال.
لكن الشركات المتضررة أكدت عدم وجود أدلة على تسريب معلومات الدفع، ولم يثبت حتى الآن استخدام البيانات المسربة في عمليات احتيال.

من المسؤول عن حماية المسافر؟

تتحمل شركات الطيران مسؤولية اختيار مزودي خدمات موثوقين ومراقبة طريقة تعاملهم مع بيانات العملاء، بينما تقع على الشركات التقنية مسؤولية تأمين أنظمتها وتقييد الوصول إلى المعلومات.

لكن تحديد المسؤولية القانونية والتعويضات المحتملة يعتمد على طبيعة الاختراق والقوانين والعقود المنظمة للعلاقة بين الأطراف.

أما المسافر، فيُنصح بالحذر من رسائل تغيير الحجوزات غير المتوقعة، وتجنب الروابط المجهولة، والتحقق من أي طلب للحصول على معلومات شخصية عبر الموقع أو التطبيق الرسمي لشركة الطيران.