Korean Air и Asiana: брони клиентов утекли через учётку подрядчика

Меня в этой истории больше всего задел срок. По данным корейской «Электроник таймс», посторонний доступ к данным пассажиров Korean Air и Asiana Airlines мог идти с августа 2023 года до сентября 2026-го. Почти три года никто этого не видел, а ломали при этом не авиакомпании.

Что произошло

Обе компании продают билеты через систему бронирования Amadeus, ею, по словам газеты, пользуются около 200 авиаперевозчиков. Вечером 20 октября Amadeus сообщила им о признаках утечки. Кто-то заходил в систему под настоящими учётными данными. Наружу ушли сведения о бронированиях, в том числе их номера. Платёжные данные, по словам перевозчиков, лежат в отдельной системе и не пострадали.

23 октября Korean Air и Asiana разослали клиентам письма с извинениями. Korean Air попросила не открывать подозрительные ссылки и вложения и не вводить личные данные по таким запросам (перевод наш). Сколько людей затронуто, пока не говорят. Газета допускает, что круг расширится на другие авиакомпании.

Что это значит для бизнеса

Я бы примерил эту историю на любую компанию, которая держит клиентов в чужом сервисе: CRM, онлайн-записи, службе рассылок. Взломали подрядчика, а извиняться и отвечать на звонки пришлось авиакомпаниям.

В России это прямо записано в 152-ФЗ. По части 5 статьи 6 за того, кому вы поручили обработку данных, перед человеком отвечаете вы. Об утечке Роскомнадзор нужно уведомить за 24 часа, а с 2025 года штрафы за утечки зависят от числа записей.

Я бы на месте владельца небольшого бизнеса сделал три вещи. Включил бы вход по второму фактору во всех сервисах с базой клиентов. Раз в квартал удалял бы учётки уволенных сотрудников и старых подрядчиков. И попросил бы у сервиса журнал входов, чтобы чужой заход не прятался три года.

Кто ещё об этом написал

Электроник таймс (전자신문). Других пересказов в нашей ленте пока нет.