Il 67% degli alberghi fornisce informazioni riservate a terze parti

Apr 12, 2019 Marco Schiaffino Gestione dati, In evidenza, Leaks, News, RSS, Vulnerabilità 0

I dati inseriti nei siti Web delle strutture vengono acquisiti da società pubblicitarie e di marketing. Potrebbero usarli anche per modificare o cancellare le prenotazioni.

Difficile pensare che i ricercatori di Symantec, quando hanno iniziato a passare al setaccio i siti Internet delle strutture alberghiere, si aspettassero di trovarsi di fronte a una simile voragine in termini di privacy e sicurezza.

A quanto si legge nel post pubblicato da Candid Wueest, però, quella che emerge è un vero scandalo: il 67% dei siti esaminati dal ricercatore di sicurezza contengono componenti gestite da soggetti terzi e permettono loro di accedere a informazioni che dovrebbero essere riservate.

Stiamo parlando, nella maggior parte dei casi di dati anagrafici, indirizzo di posta elettronica, residenza, numero telefonico, del numero di passaporto e alcuni dati della carta di credito come le ultime quattro cifre del numero, il tipo di carta e la data di scadenza.

Quanto basta, insomma, per fornire a chiunque abbastanza informazioni per portare attacchi di phishing o addirittura prendere il possesso dell’account di un qualsiasi servizio Internet che usa queste informazioni come strumento per il recupero della password.

Come mai avviene tutto questo? Secondo Wueest, il vettore principale del leak è dovuto all’abitudine di inviare un’email di conferma ai clienti attraverso un link che permette di accedere direttamente alla prenotazione effettuata.

Siccome, però, la pagina visualizzata contiene normalmente numerosi elementi esterni e ogni richiesta contiene l’url completa, tutti i soggetti coinvolti possono accedere a questi dati.

Secondo il ricercatore, mediamente ogni prenotazione online “condivide” i suoi dati con almeno 30 service provider, compresi social network, aziende pubblicitarie e società di marketing.

Accedendo al link, però, tutti questi soggetti potrebbero non limitarsi a registrare le informazioni, ma anche accedere alla prenotazione per modificarla o cancellarla.

Il problema riguarda anche i siti che offrono servizi di aggregazione delle offerte alberghiere. Dei cinque analizzati dal ricercatore, due trasmettono le credenziali e uno invia i link senza alcuna protezione crittografica.

Una modalità, quest’ultima, che viene adottata dal 29% dei siti di prenotazione e che apre la strada alla possibilità che un pirata informatico possa “sniffare” il link quando la trasmissione avviene per esempio in una rete Wi-Fi compromessa.

Inutile dire che una situazione del genere è assolutamente incompatibile con il nuovo GDPR, che prevede l’implementazione di strumenti per la tutela della privacy e protezione dei dati piuttosto stringenti.

I gestori dei servizi, però, non sembrano preoccuparsene più di tanto. Il tasso di risposta dei responsabili della protezione dei dati alle segnalazioni inviate da Wueest nel corso di sei settimane è sconsolante: il 25% le ha completamente ignorate.

Condividi l'articolo