您当前的位置:   首页 > 新闻中心
分析印度航空遭受的大规模数据泄露事件
发布时间:2021-07-04 12:09:29   阅读次数:

分析印度航空遭受的大规模数据泄露事件(图1)

世界各地最近发生的事件表明,自 2020 年以来,备受瞩目的黑客和国家资助的安全漏洞尝试一直在稳步增加。 很明显,没有任何部门能够免于成为数据泄露的受害者,包括航空业,船员和乘客的安全面临严重风险。


2021 年 5 月 23 日,一架从希腊飞往立陶宛的民用飞机最近在白俄罗斯领空被扣押,世界震惊。对于那些不知道这一事件的人来说,这架客机被一架白俄罗斯战斗机以机上装有炸弹的幌子强迫转向明斯克。相反,白俄罗斯的克格勃安全人员正在寻找著名的持不同政见者、记者罗曼·普罗塔塞维奇(Roman Protasevich),他是白俄罗斯独裁领导人亚历山大·卢卡申科的著名批评者。


就其本身而言,白俄罗斯事件足以强调保护乘客数据免受第三方(无论是黑客还是危险的独裁者)侵害的重要性。然而,更令人担忧的是,这并不是过去一年航空业发生的唯一一起数据安全漏洞事件。最近宣布,印度航空遭遇大规模数据泄露,导致早在 2011 年 8 月至 2021 年 2 月期间登记的传单数据遭到破坏。 如果没有,这一消息进一步强调了通过遵守主要数据来确保乘客数据安全的必要性安全规则比以往任何时候都更加重要。


关于印度航空数据泄露的已知信息

印度航空于 2021 年 5 月宣布,其客户数据库遭遇了大规模的安全漏洞。它通知受影响的乘客,“违规行为涉及在 2011 年 8 月至 2021 年 2 月期间注册的一些个人数据”,并且“没有密码数据受到影响”。


在这次大规模的安全漏洞中,可能泄露了大约 450 万条记录。泄露的数据包括乘客的:

  • 名称

  • 联系信息

  • 出生日期

  • 票务信息

  • 护照信息

  • 信用卡资料

  • 飞行常客数据


围绕印度航空安全漏洞的细节尚不完全清楚。众所周知,该漏洞发生在最近对航空公司的第三方数据处理器 SITA PSS 进行网络安全攻击期间,该处理器负责在云中存储和处理乘客的个人信息。


印度航空公司表示,它于 2021 年 2 月 25 日首次收到其数据处理器的违规通知。但是,直到 3 月 25 日和 4 月 5 日,他们才被告知受影响乘客的身份。该航空公司声称没有密码数据违反了。它进一步声称信用卡数据没有被泄露,其数据处理器没有保留 CVV/CVC 号码。


印度航空对安全漏洞的反应

为应对其大规模的安全漏洞,印度航空宣布采取以下措施确保乘客数据安全:

  • 调查安全漏洞

  • 保护被入侵的服务器

  • 与外部数据安全事件专家合作

  • 通知信用卡发卡机构并与之合作

  • 为其飞行常客计划重置密码


该航空公司进一步表示:

此外,我们的数据处理器确保在保护受感染的服务器后没有观察到异常活动。虽然我们和我们的数据处理者继续采取补救措施,包括但不限于上述措施,但我们也鼓励乘客在适用的情况下更改密码,以确保其个人数据的安全。保护我们客户的个人数据对我们来说是最重要的,我们对由此带来的不便深表歉意,并感谢我们乘客的持续支持和信任。


需要采取哪些措施来保护业务和客户数据

印度航空安全漏洞是印度六个月内发生的第二起重大航空公司数据泄露事件。12 月,IndiGo 的服务器遭到黑客攻击,该航空公司宣布被盗信息有可能被黑客上传到公共网站和平台上。


在 COVID-19 大流行期间,安全漏洞的数量呈指数级增长,并且在大流行后继续看下去。让我们还考虑一下最近对关键基础设施构成威胁的备受瞩目的攻击,例如对美国殖民地管道和全球最大肉类供应商 JBS的网络攻击。没有一家公司能够免于成为网络攻击的受害者。


问题在于,从数据安全和数据隐私的角度来看,印度航空等公司是否做得足够多,以保护自己和信任他们的客户。组织采取进一步措施保护其数据免受网络攻击至关重要,尤其是当他们使用外部第三方服务时。


遵守最佳实践数据安全指南和国际标准是防止未来违规的重要一步。此外,为了减轻可能发生的违规行为的潜在损害,组织采用强大的加密策略和操作流程至关重要。为防止未加密数据被未授权方访问,印度航空必须采取措施确保:

  • 它的数据在其数据库中处于静止状态时保持加密状态。

  • 它的数据在传输过程中保持加密状态,同时在客户端、应用程序和印度航空人员之间迁移。

  • 第三方数据处理器不得访问 HSM

  • 只有印度航空执行所有密钥管理。

  • 其加密密钥绝不能与第三方数据处理器共享,并且必须始终存储在印度航空的拱形数据中心。

  • 第三方将无法访问可读数据。

  • 实施客户端的强制性多因素身份验证,通常将数据访问权限限制为仅授权人员,例如只能查看其个人数据的乘客。


这些朝着最佳实践迈进的步骤强调了对强密码术(使用 HSM)和生命周期密钥管理的需求——使企业能够确信其敏感数据(处于静止或使用中)受到保护,免受泄露——因此机密数据始终保持加密状态攻击者是否可以访问它。



揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息,您可以获取到更多满足全球合规性要求的信息安全产品资料,以及相关的整体解决方案的相关资料。如:


您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问!


相关阅读

购买咨询电话
021-54410609