Boardingpass op Instagram zetten? Doe maar niet
Zet jij ook wel eens je boardingpass op Instagram of Facebook net voordat je vertrekt? Of gooi je hem zonder nadenken in de prullenbak aan het einde van je vlucht?
Denk daar iets langer over na, adviseerden een Duitse en een Russische hacker op een hackersconferentie in Duitsland.
Want de 'geheime' boekingscode die je bij vliegtuigmaatschappijen moet invullen om een boeking te kunnen inzien of wijzigen, staat waarschijnlijk gewoon op je boardingpass. "Vroeger stond hij er als tekst op, maar nu is hij verstopt in de barcode", zegt een van de twee hackers, Karsten Nohl.
Gratis op vakantie
Het is heel eenvoudig om een barcode uit een afbeelding te knippen en hem vervolgens via een gratis website te laten uitlezen, legt Nohl uit. Weet je ook iemands achternaam, dan kun je vervolgens inloggen op een website van een vliegtuigmaatschappij.
"En dan kun je persoonlijke informatie inzien, zoals telefoonnummers en e-mailadressen", aldus Nohl. "Maar je kunt ook boekingen wijzigen, en bijvoorbeeld zelf de vlucht nemen. Of hem annuleren en het restitutiebedrag aan jezelf laten uitkeren." Volgens Nohl wordt er al misbruik van gemaakt, al toonde hij daarvan geen bewijs.
De codes fungeren dus als een wachtwoord. "Nergens op internet zien we loginbeveiliging die zo slecht is, overal moet je veel langere wachtwoorden kiezen", aldus onderzoeker Nohl. Nog los van het feit dat deze wachtwoorden worden afgedrukt op papiertjes die iedereen kwijtraakt of op social media zet, tekent hij aan.
Uit de jaren tachtig
Daar blijft het niet bij. Ook aan de achterkant zijn de systemen slecht beveiligd, ontdekten Nohl en zijn collega-onderzoeker Nemanja Nikodijevic. De zesletterige codes blijken te kraken, waardoor je boeking ook zou kunnen worden gehackt als je wél netjes omgaat met je boardingpass.
Dat het zo slecht gesteld is met de beveiliging, komt onder meer doordat de computersystemen die reserveringen afhandelen uit de jaren zeventig en tachtig stammen. Ze zijn nooit vervangen door modernere systemen, terwijl ze wel aan het internet zijn geknoopt.