Este error podría haber permitido modificar múltiples detalles de viajes

Especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética reportan que, debido a una vulnerabilidad recientemente descubierta en el sistema de reservaciones Amadeus, un atacante o atacantes pudieron acceder y cambiar las reservaciones usando sólo un número de reservación.   

El bug, presente en el sistema de reservas que ostenta el 44% del mercado de reservaciones internacionales, fue descubierto por el experto en seguridad en redes Noam Rotem, que intentó reservar un vuelo en la aerolínea israelí ELAL.

Rotem, en colaboración con un grupo de especialistas en seguridad en redes, reportó su hallazgo a través de un blog: “descubrimos que, simplemente cambiando la RULE_SOURCE:1ID, podíamos ver cualquier PNR y acceder al nombre del cliente y los detalles del vuelo asociados”.

Los investigadores entonces pudieron iniciar sesión en el portal de clientes de ELAL “y hacer múltiples cambios, canjear millas de viajero frecuente, modificar los lugares asignados en un vuelo y modificar el perfil de los usuarios para cancelar o cambiar una reserva en un vuelo”.

Los expertos explican que la aerolínea ELAL envía los códigos vía email no cifrado, haciendo hincapié en que algunos usuarios descuidados incluso llegan a compartir estos mensajes en redes sociales.

“Aunque esta es sólo la punta del iceberg”, afirma el blog. “Después de ejecutar una sencilla secuencia de comandos para comprobar si existían medidas de protección contra fuerza bruta, pudimos encontrar el PNR de miles de clientes al azar, incluyendo información personal”, concluye el blog.

Los investigadores desarrollaron un script para solucionar el problema, contactaron a ELAL para notificarles sobre la vulnerabilidad, y emitieron algunas sugerencias a la aerolínea, como la implementación de CAPTCHA, contraseñas y otras medidas de seguridad contra bots.

Después de informar sobre la vulnerabilidad a Amadeus, la compañía publicó un comunicado en el que afirmaban que el inconveniente ya había sido resuelto, además de que agregaron una clave de recuperación para evitar el uso malintencionado de esta vulnerabilidad.

La vulnerabilidad de Amadeus, al igual que el robo de datos de Marriott del año pasado, “proporciona a actores maliciosos en el extranjero los patrones de vida de algunos líderes políticos y empresariales de todo el mundo, como itinerarios de vuelo e información del staff que los acompaña”, mencionan los expertos en ciberseguridad. “La confianza es vital para las operaciones de compañías como estas, por lo que deberán responder a este incidente de la mejor manera posible”.