La liste d’interdiction de vol de la Transportation Security Administration est l’un des registres les plus importants aux États-Unis, contenant comme il le fait les noms de personnes qui sont perçues comme une telle menace pour la sécurité nationale qu’elles sont interdit dans les avions. Vous auriez été pardonné alors de penser que cette liste était un secret d’État bien gardé, mais lol, non.
Un hacker suisse connu sous le nom de « maia arson crimew » a mis la main sur une copie de la liste, bien qu’il s’agisse d’une version datant d’il y a quelques années, non pas en contournant des couches de cybersécurité semblables à des forteresses, mais en… trouvant une compagnie aérienne régionale qui avait ses données qui traînaient sur des serveurs non protégés. Ils ont annoncé la découverte avec la photo et la capture d’écran ci-dessus, dans lesquelles le Pokémon Sprigatito a l’air terriblement content d’eux-mêmes.
Comme ils expliquer dans un article de blog détaillant le processuscrimew fouillait en ligne lorsqu’ils ont découvert que les serveurs de CommuteAir étaient juste là :
comme tant d’autres de mes hacks, cette histoire commence par l’ennui et la navigation shodan (ou bien, techniquement zoomeyeshodan chinois), à la recherche d’exposés jenkins serveurs qui peuvent contenir des biens intéressants. à ce stade, j’ai probablement cliqué sur environ 20 serveurs exposés ennuyeux avec très peu d’intérêt, quand je commence soudainement à voir des mots familiers. “acars», beaucoup de mentions de « crew » et ainsi de suite. beaucoup de mots que j’ai déjà entendus, probablement en regardant de façon excessive Pilote mentor Vidéos youtube. cagnotte. un serveur jenkins exposé appartenant à CommuteAir.
Parmi les autres informations «sensibles» sur les serveurs, il y avait «NOFLY.CSV», qui était hilarant exactement ce qu’il dit sur la boîte: «Le serveur contenait des données d’une version 2019 de la liste fédérale d’interdiction de vol qui comprenait les noms et prénoms et dates de naissance », Erik Kane, directeur des communications d’entreprise de CommuteAir dit le Point quotidienqui a travaillé avec crimew pour passer au crible les données. «De plus, certains employés de CommuteAir et des informations sur les vols étaient accessibles. Nous avons soumis une notification à l’Agence de sécurité de la cybersécurité et des infrastructures et nous poursuivons une enquête complète.
Ces « informations sur les employés et les vols » comprennent, comme l’écrit crimew :
récupérer des exemples de documents à partir de divers compartiments s3, parcourir des plans de vol et vider certaines tables dynamodb. à ce stade, j’avais trouvé à peu près tous les PII imaginables pour chacun des membres de leur équipage. noms complets, adresses, numéros de téléphone, numéros de passeport, numéros de licence de pilote, date de leur prochain contrôle en ligne et bien plus encore. J’avais des feuilles de voyage pour chaque vol, la possibilité d’accéder à tous les plans de vol, tout un tas d’images jointes aux réservations de vols remboursés contenant encore plus de PII, des données de maintenance d’avion, etc.
G/O Media peut toucher une commission
Up to $100 credit
Samsung Reserve
Reserve the next gen Samsung device
All you need to do is sign up with your email and boom: credit for your preorder on a new Samsung device.
The government is now investigating the leak, with the TSA informant le Point quotidien elles sont “conscients d’un incident de cybersécurité potentiel, et nous enquêtons en coordination avec nos partenaires fédéraux ».
Si vous vous demandez combien de noms figurent sur la liste, il est difficile de le dire. Crimée raconte ma ville que dans cette version des enregistrements “il y a environ 1,5 million d’entrées, mais étant donné qu’il y a beaucoup d’alias différents pour différentes personnes, il est très difficile de connaître le nombre réel de personnes uniques dessus” (une estimation de 2016 avait les numéros à “2 484 442 enregistrements, consistant en 1 877 133 identités individuelles”).
Fait intéressant, étant donné que la liste a été téléchargée sur les serveurs de CommuteAir en 2022, on a supposé que c’était l’année d’où provenaient les enregistrements. Au lieu de cela, crimew me dit “la seule raison pour laquelle nous [now] savoir [it] est de 2019, c’est parce que la compagnie aérienne ne cesse de le confirmer dans tous ses communiqués de presse, avant cela, nous supposions que c’était de 2022. »
Vous pouvez consulter le blog de crimew icitandis que le Point quotidien poste—qui dit que les noms sur la liste incluent des membres de l’IRA et un enfant de huit ans—est là.
