قد لا تكون شركة الطيران التي تحجز معها تذكرتك هي الجهة الوحيدة التي تحتفظ ببياناتك الشخصية، وهو ما كشفته واقعة اختراق أمني تعرضت لها شركة "أماديوس" الإسبانية، المتخصصة في توفير أنظمة تكنولوجيا السفر والحجوزات، وأثارت مخاوف بشأن أمن المعلومات الشخصية للمسافرين حول العالم.
وأعلنت عدة شركات طيران عالمية تأثر بيانات عملائها بالحادث، رغم تأكيدها أن أنظمتها الداخلية لم تتعرض للاختراق، ما يسلط الضوء على مخاطر الاعتماد على شركات تقنية خارجية في إدارة الحجوزات وتخزين بيانات المسافرين.
وشملت الشركات المتأثرة الخطوط الجوية اليابانية، التي كشفت عن تأثر بيانات نحو 92 ألف عميل، وشركة "كاثي باسيفيك" في هونغ كونغ، التي أعلنت تأثر نحو 53 ألف حجز، إلى جانب الخطوط الجوية الماليزية وشركات أخرى.
وأكدت الخطوط الماليزية احتمال تعرض بعض معلومات العملاء للخطر، مع الإشارة إلى عدم وجود أدلة على الوصول إلى البيانات المالية. من جانبها، أوضحت "أماديوس" أنها اكتشفت ثغرة أمنية في بيئة تقنية تستخدم لعرض معلومات الحجوزات، وأن التحقيقات لا تزال مستمرة لتحديد حجم الاختراق.
بيانات المسافرين لا تبقى لدى شركات الطيران وحدها
عند حجز تذكرة طيران، لا تقتصر عملية تخزين المعلومات الشخصية على أنظمة شركة الطيران، إذ تعتمد صناعة السفر على شبكة واسعة من مزودي الخدمات التقنية الذين يتولون إدارة الحجوزات وإصدار التذاكر وإجراءات تسجيل الوصول، ويربطون شركات الطيران بوكالات السفر والمطارات.
وتحفظ بيانات الرحلات عادة ضمن سجل يعرف باسم PNR، اختصارا لـ"سجل اسم الراكب"، ويتضمن معلومات مثل اسم المسافر ورقم الحجز ومواعيد الرحلات وبيانات الاتصال.
وفي بعض الحالات، قد يحتوي هذا السجل على معلومات أكثر حساسية، من بينها رقم جواز السفر والجنسية وبيانات برامج المسافر الدائم، ما يجعل أنظمة الشركات الخارجية جزءا مهما من منظومة حماية بيانات المسافرين.
وبالتالي، فإن اختراق أحد مزودي الخدمات التقنية قد يعرض معلومات العملاء للخطر، حتى إذا نجحت شركة الطيران نفسها في حماية شبكتها وأنظمتها الداخلية.
كيف يمكن استغلال بيانات الحجز في عمليات الاحتيال؟
لا يحتاج المحتالون بالضرورة إلى الحصول على بيانات البطاقات المصرفية لإلحاق الضرر بالمسافرين؛ فمجرد معرفة اسم العميل ورقم حجزه وموعد رحلته قد يمنحهم معلومات كافية لتنفيذ عمليات احتيال أكثر إقناعا.
فقد يستخدم المخترقون هذه التفاصيل لإرسال رسائل مزيفة تبدو وكأنها صادرة عن شركة الطيران، وتطلب من المسافر تأكيد الحجز أو دفع رسوم إضافية أو تحديث بيانات جواز السفر.
وتزداد خطورة هذه الرسائل عندما تتضمن معلومات صحيحة عن رحلة حقيقية، ما يجعل اكتشاف الاحتيال أكثر صعوبة.
وفي حادث "أماديوس"، كشفت الخطوط الجوية اليابانية أن بيانات نحو ألفي عميل تضمنت معلومات إضافية، من بينها أرقام جوازات السفر ووسائل الاتصال. ومع ذلك، أكدت الشركات المتضررة عدم وجود أدلة على تسريب بيانات الدفع، كما لم يثبت حتى الآن استخدام المعلومات المتأثرة في عمليات احتيال.
من يتحمل مسؤولية حماية بيانات المسافرين؟
تتوزع مسؤولية حماية المعلومات بين شركات الطيران ومزودي الخدمات التقنية؛ إذ يتعين على شركات الطيران اختيار شركاء موثوقين ومراقبة كيفية تعاملهم مع بيانات العملاء، بينما تتحمل الشركات التقنية مسؤولية تأمين أنظمتها وتقييد صلاحيات الوصول إلى المعلومات.
أما تحديد المسؤولية القانونية والتعويضات المحتملة، فيعتمد على طبيعة الاختراق والقوانين المعمول بها والعقود التي تنظم العلاقة بين الأطراف.
وفي ظل هذه المخاطر، ينصح المسافرون بعدم التفاعل مع الرسائل المفاجئة المتعلقة بتغيير الحجوزات أو طلب دفع رسوم إضافية، وتجنب الروابط غير المعروفة، والتحقق من أي طلب للحصول على بيانات شخصية من خلال الموقع أو التطبيق الرسمي لشركة الطيران.
