Iberia bekrefter uautorisert tilgang som påvirker kunder

Det spanske flyselskapet har annonsert en uautorisert tilgang til et informasjonsutvekslingssystem som driftes av en ekstern leverandør som har eksponert personopplysningene til noen av kundene sine. Ifølge selskapet er den kompromitterte plattformen ikke relatert til flyoperasjoner, og innholdet er derfor begrenset. Flysikkerheten har ikke blitt påvirket.

Etter å ha oppdaget hendelsen har Iberia informert UCO for Civil Guard, AEPD og INCIBEog har iverksatt en etterforskning for å fastslå det fulle omfanget av hendelsen. Selskapet kontakter de berørte individuelt og har iverksatt ytterligere kontrolltiltak for å redusere risikoer og forhindre ytterligere uautorisert tilgang.

Relatert artikkel:

Håndtering av personvern på sosiale nettverk: en komplett og praktisk guide

Hva har skjedd og hvilke data har blitt eksponert

Etterforskningen peker mot et eksternt kommunikasjonslager, som ikke er koblet til flyselskapets kritiske systemer. Iberia understreker at informasjonen som var lagret i dette miljøet var begrenset, og at Flyoperasjoner og sikkerhet har ikke blitt kompromittert.

De kompromitterte dataene inkluderer grunnleggende personopplysninger som for eksempel navn og etternavn og i mange tilfeller e-postadresser; i mindre grad ville telefonnumre og lojalitetskortidentifikator ha blitt eksponert Iberia-klubben.

Selskapet erkjenner at noen har blitt utvunnet reservasjonskoder av flyvninger som fortsatt skal gjennomføres. Men så langt Det finnes ingen bevis for uredelig aktivitet utledet fra den informasjonen.

Iberia insisterer også på at Fullstendige data om betalingsmåter er ikke offentliggjort heller ikke kontotilgangsinformasjon, så risikoen for ulovlig bruk i finansielle transaksjoner anses som lav.

Tiltak iverksatt av Iberia og støttekanaler

For å sikre håndteringen av reservasjoner har flyselskapet aktivert en tofaktorautentisering (2FA) i appen, nettsiden og telefonkanalen, slik at bare innehaveren kan endre eller se reisen sin selv om en bestillingskode er blitt eksponert.

Samtidig har Iberia innledet individuell kommunikasjon med de berørte og opprettholder en forbedret overvåking av deres teknologiske miljø. Gratisnummeret er aktivert +34 900 111 500 for å avklare tvil og ta opp eventuelle problemer eller mistanker.

Hovedanbefalingen er å utvise ekstrem forsiktighet med uventede meldinger, anrop eller skjemaer som ber om handlinger eller personopplysninger på vegne av selskapet, for å unngå svindelforsøk. phishingEnkelte meldinger foreslår også å gjennomgå kontaktadresser knyttet til kontoen og vurder å oppdatere den hvis det oppdages unormal aktivitet.

Iberia har beklaget ulempene dette medfører og opplyser at det er setter alle midler til rådighet ut i livet for å redusere virkningen og styrke sine tekniske og organisatoriske kontroller med leverandørene sine.

Mer rekkevidde? Det påståtte salget av 77 GB på det mørke nettet

Parallelt med det bekreftede tilfellet har spesialiserte medier rapportert om tilbudet om 77 GB intern dokumentasjon Oppføringen, som tilskrives Iberia for 150 000 dollar på mørke nettfora, hevder å inkludere teknisk materiale for fly (f.eks. A320/A321), vedlikeholdsfiler og annen bedriftsdokumentasjon.

Foreløpig, denne slutten Dette har ikke blitt bekreftet av IberiaSelskapet opplyser at de analyserer autentisiteten og omfanget av disse filene, og understreker uansett at det ikke finnes bevis for påvirkning på operativsystemer eller eksponering av sensitive kundedata utover det eksterne arkivet som allerede er rapportert.

Hvis den påståtte lekkasjen bekreftes, vil den legge til en risikovektor av industriell og immateriell art. Imidlertid er fokuset foreløpig fortsatt på allerede bekreftet uautorisert tilgang og for å beskytte berørte brukere.

Europeisk rammeverk: forpliktelser og ansvar overfor leverandører

Hendelsen føyer seg inn i en økende trend med angrep på forsyningskjededer leverandører blir inngangspunktet. Europeiske forskrifter krever styrking av denne koblingen: GDPR (artikkel 28) pålegger at kun databehandlere med tilstrekkelige garantier og krav om tilstrekkelige beskyttelsestiltak skal ansettes.

direktiv 2 NOK (Art. 21) går lenger og krever håndtering av risikoer i forsyningskjeden, plassering av cybersikkerhet som et ansvar for styringsorganet og et element av flid og debitering forretningsmessig, ikke bare teknisk.

I Spania gjelder rammeverket for den nasjonale sikkerhetsordningen og varslingspliktene til AEPD De relevante myndighetene har allerede etablert responsprotokollen. Iberia har rapportert hendelsen til UCO, AEPD og INCIBE, i samsvar med kravene i varsling til myndighetene og samarbeid.

Den foreløpige vurderingen indikerer uautorisert tilgang til et eksternt system, begrenset dataeksponering og inneslutningstiltak som allerede er på plass; selskapet hevder at Det finnes ingen bevis for svindel og at Flysikkerheten har ikke vært i fare, i påvente av at etterforskningen er avsluttet og punktene som ennå ikke er bekreftet, er avklart.