Sicherheitslücke in Ticketsystemen Hacker könnten offenbar Fluggastdaten erbeuten

IT-Spezialisten haben in den elektronischen Ticketsystemen von acht Fluglinien eine Schwachstelle entdeckt. Angreifer könnten darüber an Namen und Passnummern gelangen oder die Bordkarte ändern und ausdrucken.

Thomas Cook-Flieger startet in Palma de Mallorca (Archivbild)
REUTERS

Thomas Cook-Flieger startet in Palma de Mallorca (Archivbild)


Mehrere elektronische Ticketsysteme, die von verschiedenen Fluggesellschaften genutzt werden, weisen offenbar Sicherheitslücken auf. Das hat die IT-Sicherheitsfirma Wandera herausgefunden und am Mittwoch in einem Bericht öffentlich gemacht. Angreifer könnten über ungesicherte Links in E-Mails die Daten von Passagieren abgreifen und teilweise sogar Änderungen an der Buchung vornehmen.

Es geht in dem Fall um Systeme, die von acht verschiedenen Airlines genutzt werden, darunter Southwest, Air France, KLM und Thomas Cook. Die Gesellschaften verschicken laut den Sicherheitsexperten per Mail unverschlüsselte Links an die Passagiere, über die sie direkt zum Check-In geleitet werden, ohne noch einmal ein Passwort oder sonst etwas eingeben zu müssen. Dort finden sich dann Informationen zum Passagier und dessen Flug.

Welche Informationen das sind, ist je nach System und Airline unterschiedlich, berichten die Sicherheitsforscher. Mit dabei waren etwa Namen, Handynummern und E-Mail-Adressen, Reisepassnummern, Flugnummern und -Zeiten, Informationen über Gepäckmitnahme und Sitzplatzreservierungen sowie komplette Bordkarten.

Sitzplatz oder Kontaktdaten ändern und Bordkarte drucken

Ein Hacker, der sich im selben Netzwerk befinde wie ein Passagier, könnte die unsichere Linkabfrage ohne großen Aufwand abgreifen - insbesondere, wenn der Reisende sich unterwegs in einem offenen WLAN bewege. Einmal auf der entsprechenden Seite, könnte der Angreifer dann nicht nur die Informationen sammeln, sondern auch teilweise den Sitzplatz ändern, eine andere Handynummer und E-Mail-Adresse eintragen oder die Bordkarte ausdrucken. Da der Link mehrfach anklickbar ist, könnten Angreifer theoretisch auch wiederkommen.

Mit ausgedruckten Bordkarten könnte Kriminelle versuchen, Flüge anstelle der Passagier anzutreten. Das würde allerdings nur ohne weitere Ausweiskontrolle am Flughafen funktionieren. Außerdem wären Daten wie Pass- und Telefonnummern sowie E-Mail-Adressen unter Umständen für einen Identitätsdiebstahl geeignet.

Wandera hat die Sicherheitslücken nach eigenen Angaben bereits im Dezember 2018 entdeckt. Im Rahmen einer sogenannten "Responsible Disclosure", also der verantwortungsvollen Veröffentlichung von Schwachstellen, habe man aber zunächst die Firmen informiert und wende sich erst jetzt an die Öffentlichkeit. Auch die zuständigen Sicherheitsbehörden seien informiert worden. Bislang ist kein Fall bekannt, in dem die Lücken ausgenutzt wurden.

juh

Mehr zum Thema


zum Forum...
Sagen Sie Ihre Meinung!

© SPIEGEL ONLINE 2019
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung


TOP
Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.