A companhia aérea turca de baixo custo Pegasus Airlines vazou acidentalmente informações pessoais da tripulação de voo junto com o código-fonte e os dados de voo depois de configurar incorretamente um bucket de armazenamento S3 da Amazon Web Services (AWS).
Uma equipe de pesquisadores do site de comparação de segurança SafetyDetectives descobriu que o armazenamento de dados na nuvem ficou aberto em 28 de fevereiro. Ele rastreou algumas das informações vazadas do software Electronic Flight Bag (EFB) desenvolvido pela Pegasus Airlines. Os EFBs são ferramentas de gerenciamento de informações projetadas para otimizar a produtividade das tripulações de companhias aéreas, fornecendo materiais de referência essenciais para seu voo.
Quase 23 milhões de arquivos foram encontrados no bucket, totalizando cerca de 6,5 terabytes (TB) de dados vazados. Isso incluiu mais de 3 milhões de arquivos contendo dados de voo confidenciais, tais como gráficos de voo e revisões; documentos de seguro; detalhes dos problemas encontrados durante as verificações pré-voo; e informações sobre os turnos da tripulação.
Mais de 1,6 milhão de arquivos continham informações de identificação pessoal (PII) sobre a tripulação da companhia aérea, incluindo fotos e assinaturas. O código-fonte do software EFB da Pegasus também foi encontrado no “tesouro de dados”, incluindo senhas de texto simples e chaves secretas.
Além das possíveis implicações de privacidade para os membros da tripulação, a SafetyDetectives especulou que o vazamento pode ter dado aos hackers acesso a informações altamente confidenciais.
Veja isso
Ataque cibernético retarda vôos da indiana SpiceJet
Aéreas dos EUA pedem que 5G seja adiada por risco aos voos
“Os cibercriminosos podem adulterar dados de voo confidenciais e arquivos extrassensíveis usando senhas e chaves secretas encontradas no bucket do Pegasus EFB. Embora não possamos ter certeza de que os pilotos usarão os arquivos do bucket para os próximos voos, alterar o conteúdo dos arquivos pode impedir que informações importantes do EFB cheguem ao pessoal da companhia aérea e coloque passageiros e tripulantes em risco”, disseram os pesquisadores. “Com milhões de arquivos contendo dados de voo recentes e possivelmente relevantes, infelizmente, um invasor pode ter várias opções para causar danos se encontrar o bucket do Pegasus EFB.”
Os membros da tripulação também podem ser objeto de coerção por grupos do crime organizado, enquanto as informações contidas no armazenamento de dados podem ajudar os criminosos a identificar pontos fracos na segurança de aeroportos e companhias aéreas, afirmou o relatório.
No entanto, não há indicação de que algum hacker tenha encontrado o “tesouro de dados” antes da equipe de pesquisa. Depois de notificar a Pegasus Airlines em 1º de março, a SafetyDetectives observou que o vazamento foi remediado cerca de três semanas depois.
