23 miljoner känsliga flygbolagsdata läckte på grund av osäker AWS-hink

Pegasus Airlines Airbus A320 © © Vytautas Kielaitis / Shutterstock.com

En fillagringsbehållare i objektformat från Amazon Web Services (AWS) var inte ordentligt säkrad, vilket resulterade i läckage av miljontals data från Pegasus Airlines.

Teamen från specialisten på cybersäkerhetsdetektiver upptäckte att en AWS S3 “hink”, det vill säga en behållare som gör det möjligt att lagra i molnet, i objektformat, många data och filer, hade förblivit tillgänglig online. , eftersom vänster oskyddad, utan lösenord. Denna klumpighet är desto allvarligare eftersom hinken i fråga innehöll kritiska data från det turkiska flygbolaget Pegasus Airlines, som ägs av private equity-bolaget i samma land, Esas Holding AS. Låt oss se vad det är.

6,5 TB av kritisk data lämnas exponerad

AWS S3 (Amazon Simple Storage Service), som är ingen mindre än den amerikanska jättens molnlagringstjänst, är tillgänglig via ett webbgränssnitt. Det låter dig lagra data och filer från vad som kallas hinkar. Tack vare molnet är dessa sedan tillgängliga, för sina ägare, från vilken enhet som helst som är ansluten till Internet.

Det visar sig att den aktuella hinken innehöll information av typen Electronic Flight Bag (EFB) från lågprisbolaget Pegasus Airlines. Mer specifikt vägde den cirka 6,5 ​​TB data och var värd för 23 miljoner dokument. 3,2 miljoner av dem innehöll känslig flygdata.

säkerhetsinstruktioner © Safety Detectives

Denna information kom därför från EFB-programvara utvecklad av Pegasus. Data av typen Electronic Flight Bag är särskilt kritiska och känsliga. I själva verket talar vi här om en anordning som gör att besättningen på ett flygplan lättare kan utföra uppgifterna flygledning, navigering, start, landning, tankning eller säkerhet.

Därav följande risker för företaget, dess personal och dess passagerare

Hinken, som upptäcktes helt öppen den 28 februari 2022, utan något lösenord, innehöll också data som flygkartor, revisionskort, navigationsdokument, information om problem relaterade till kontroller före flygning, försäkringsdokument… Det fanns också identifierbara personliga uppgifter som tillhör företagets besättning, med foton och signaturer.

stöldkartor © Safety Detectives

All denna fritt läckta information hänför sig till Pegasus EFB, programvara vars källkod också exponerades, med vanlig textlösenord och hemliga nycklar som finns i cirka 400 filer i exe-, apk-, dll-format. , msi och andra. I fel händer kan denna information användas för att modifiera extremt känsliga filer. Och denna brist kan också påverka anslutna flygbolag, som också använder Pegasus EFB, som IZair och Air Manas.

Pegasus Airlines säkrade snabbt AWS S3-hinken, men det är för närvarande omöjligt att veta om hackare eller andra illvilliga individer kunde komma åt den oskyddade AWS S3-hinken. Om så är fallet kan konsekvenserna bli allvarliga och till och med utsätta företagets personal, inklusive besättningsmedlemmar, och passagerare i fara.

En dålig skådespelare kan identifiera flygplanspersonal via foton, signaturer och besättningsbyten och tvinga dem att smuggla varor, vapen eller droger över gränserna säger Safety Detectives. Dessutom kunde de säkerhetsinstruktioner som fanns tillgängliga hjälpa till att identifiera svaga punkter i säkerheten för ett flygplan eller en flygplats.

Om samma ämne:
Datastöld: det har aldrig varit så mycket som idag, enligt CNIL

Källa: Säkerhetsdetektiver

Relaterade Artiklar

Back to top button