Kritiek op beveiligingslek bij KLM en Air France: klantgegevens eenvoudig te onderscheppen

(Jarretera / Shutterstock.com)

KLM heeft recentelijk een probleem met de beveiliging van klantgegevens gehad. Uit onderzoek van de NOS bleek dat persoonlijke informatie van klanten, zoals telefoonnummers, e-mailadressen en soms zelfs paspoortgegevens, gemakkelijk te verzamelen waren door mensen die hier geen toestemming voor hadden. Dit probleem trof niet alleen KLM-klanten, maar ook die van Air France.

Het lek werd ontdekt doordat men met een speciaal script eenvoudig gegevens kon verzamelen. Zo konden in korte tijd meer dan 900 actieve links worden gevonden waarachter vaak persoonlijke informatie zat. Dit soort gegevens kunnen misbruikt worden, bijvoorbeeld voor het maken van neppe reisdocumenten of gerichte phishing-aanvallen.

Een van de oorzaken van dit lek was dat de hyperlinks in de SMS-berichten van KLM extra kort waren, waardoor ze gemakkelijker te raden waren. Een hacker kon door willekeurig links in te voeren uiteindelijk toegang krijgen tot geldige links.

Een beveiligingsonderzoeker, merkte op dat de codes te kort waren en er te veel werkende codes in omloop waren. KLM heeft dit probleem snel opgelost nadat ze door de NOS werden geïnformeerd. Nu moeten klanten eerst inloggen op de Mijn Reis-omgeving van KLM of Air France om de links te gebruiken.

Het is niet duidelijk hoeveel klanten risico liepen door dit lek. KLM heeft geen commentaar gegeven op de berekeningen over hoe vaak een geldige link kon worden gevonden. Het bedrijf benadrukt wel dat ze de privacy van hun passagiers serieus nemen en een geavanceerd veiligheidsbeleid voeren.

Een andere beveiligingsexpert geeft aan dat het probleem te wijten is aan een gebrek aan zorgvuldigheid bij KLM. Hoewel KLM beweert dat hun systemen alarm hebben geslagen vanwege het onderzoek, blijft het onduidelijk of het lek eerder is misbruikt.

Volgens een privacy-adviseur is het vaak moeilijk om vast te stellen of er sprake is van misbruik en dat bedrijven hier niet altijd transparant over zijn. KLM heeft geen verdere details gegeven over hoe ze ander misbruik van het lek kunnen uitsluiten.

Bron: NOS