No se filtró ninguna lista de moscas, Pokémon estuvo brevemente involucrado

La lista de exclusión aérea de la Administración de Seguridad del Transporte es uno de los libros de contabilidad más importantes de los Estados Unidos. ya que nombra a las personas consideradas como una amenaza para la seguridad nacional que no están permitidas en las aeronaves. Se le perdonaría que pensara que esta lista era un secreto de estado muy bien guardado, pero no hace años, no rompiendo capas de ciberseguridad similares a fortalezas, sino encontrando… una aerolínea regional cuyos datos estaban en servidores desprotegidos. . Anunciaron el descubrimiento con la foto y captura de pantalla de arriba, donde el Pokémon Sprigatito se ve muy feliz consigo mismo. Como explican en una publicación de blog que detalla el proceso, Crimew estaba hurgando en línea cuando se dio cuenta de que los servidores de CommuteAir estaban allí:

Como muchos de mis otros trucos, esta historia comienza cuando me aburro y navego por Shodan (o bueno, técnicamente Zoomeye, Shodan chino) en busca de servidores Jenkins expuestos que puedan contener algunos productos interesantes. En este punto, probablemente he estado haciendo clic en unos 20 aburridos servidores expuestos con muy poco interés cuando de repente empiezo a ver algunas palabras familiares. «ACARS», muchas menciones de «Crew», etc. muchas palabras que he escuchado antes, muy probablemente mientras veía videos de YouTube de Mentour Pilot. Bote. un servidor Jenkins expuesto propiedad de CommuteAir.

Entre otra información «sensible» en los servidores estaba «NOFLY.CSV», que, por extraño que parezca, era exactamente lo que dice en la caja: «El servidor contenía datos de una versión de 2019 de la lista federal de exclusión aérea, primero y último». nombres y fechas de nacimiento», dijo el gerente de comunicaciones corporativas de CommuteAir, Erik Kane, al Daily Dot, quien trabajó con Crimew para revisar los datos. “Además, se podía acceder a cierta información de vuelos y empleados de CommuteAir. Hemos notificado a la Agencia de Seguridad de Infraestructura y Ciberseguridad y estamos procediendo con una investigación completa». Esta «información de vuelo y de empleados», escribe Crimew, incluye:

Obteniendo documentos de ejemplo de varios cubos S3, revisando planes de vuelo y volcando algunas tablas de Dynamodb. En este punto, había encontrado casi todos los PII imaginables para cada uno de los miembros de su tripulación. nombres completos, direcciones, números de teléfono, números de pasaporte, números de licencia de piloto, cuándo vence el próximo control de línea y mucho más. Tenía hojas de viaje para cada vuelo, la capacidad de acceder a cada itinerario de tiempo, un montón de archivos adjuntos de imágenes para reembolsar las reservas de vuelos que contenían aún más PII, datos de mantenimiento de aeronaves, lo que sea.

G/O Media puede recibir una comisiónHasta $100 de créditoSamsung ReserveReserve el dispositivo Samsung de última generaciónTodo lo que tiene que hacer es registrarse con su dirección de correo electrónico y ¡boom!: preordene crédito en un nuevo dispositivo Samsung que estamos investigando en coordinación con nuestros socios federales». Si se pregunta cuántos nombres hay en la lista, es Difícil de decir. Crimew le dice a Kotaku que en esta versión de los registros, «hay aproximadamente 1,5 millones de entradas, pero dados los muchos alias diferentes para diferentes personas, es muy difícil determinar el número real de personas en él» (una estimación realizada en 2016 tenía la números en «2.484.442 registros, que consisten en 1.877.133 identidades individuales»). Curiosamente, dado que la lista se cargó en los servidores de CommuteAir en 2022, se asumió que ese era el año del que procedían los registros. En cambio, Crimew me dice: «La única razón por la que [now] sabe [it] es de 2019 porque la aerolínea sigue confirmando esto en todos sus comunicados de prensa, antes de eso, asumimos que era de 2022 «. Puede ver el blog de crimew aquí, mientras que la publicación Daily Dot, indicando su nombre en la lista de miembros del IRA y un niño de ocho años – está aquí.