Kun seuraavan kerran kävelet hitaasti lentokoneen käytävää pitkin, mieti sitä uskomatonta työtä, jonka ansiosta olet päässyt sinne, lentokonetekniikasta operaattoreihin, jotka pitävät yli 5,000 XNUMX lentokonetta ilmassa samanaikaisesti; ilmailuala kohtaa uskomattomia haasteita.
Viimeisten parin vuosikymmenen aikana heillä on ollut jälleen yksi asia, jota vastaan taistella: kyberturvallisuusuhkien. Viime kuussa näimme esimerkkejä siitä, mitä tapahtuu, kun tunkeilijat pääsevät heidän järjestelmiinsä.
Kolme kyberhyökkäystä kuukaudessa
Kesäkuun alussa yksi Kanadan suosituimmista lentoyhtiöistä, Westjet, huomasi ensimmäisen kerran, että sen järjestelmissä oli jotain vialla. Yhtiötä oli kohdannut kyberhyökkäys, joka oli estänyt käyttäjiä kirjautumasta sen verkkosivuille ja mobiilisovellukseen.
Westjet puuttui ongelmaan nopeasti, kuten se yksityiskohtaisesti kertoi. neuvoa-antava sivu seuraavien päivien aikana. Tämä ei kuitenkaan ollut yksittäistapaus. Lentoyhtiö oli yksi kolmesta iskujen kohteeksi joutuneesta lentoyhtiöstä. Myös Qantas ja Hawaiian Airlines joutuivat iskujen kohteeksi.
Hawaiian Airlines havaitsi oman tietomurtonsa 23. kesäkuuta ja ilmoitti siitä kolme päivää myöhemmin sähköpostin kautta. ytimekäs viesti sen verkkosivuilla. Sen lentoaikataulu oli toiminnassa, eikä matkustamiseen vaikuttanut, se sanoi.
Sitten oli Australian vuoro. Sen Qantas-lentoyhtiö havaitsi epätavallista toimintaa yhteyskeskuksensa käyttämällä kolmannen osapuolen alustalla. Hyökkääjä onnistui varastamaan asiakkaiden nimiä, osoitteita, puhelinnumeroita, syntymäaikoja ja kanta-asiakasnumeroita.
Qantas heinäkuun 2. päivänä totesi että sillä oli alustalla kuuden miljoonan asiakkaan palvelutiedot ja odotti varastettujen tietojen osuuden olevan "merkittävä". Varkaat eivät kuitenkaan päässeet maksutietojen kanssa pälkähästä, se lisäsi.
Nämä hyökkäykset näyttävät koordinoiduilta. Scattered Spider -nimisen uhkaryhmän oletetaan olevan vastuussa myös MGM Grand Casinon ja viime aikoina myös muiden hyökkäysten tapahtumista. Marks & Spenceroli kääntänyt huomionsa lentoliikennesektorille, varoitti FBI:ta.
Viraston mukaan rikollisryhmä vaarantaa työntekijöiden tilejä vierailemalla tukipalveluissa ja tekeytymällä työntekijöiksi tai urakoitsijoiksi ja suostuttelemalla operaattorit antamaan heille tileilleen pääsyn. Usein se sitten suostuttelee kyseiset operaattorit lisäämään MFA-käyttöoikeuden tileille, lukiten lailliset käyttäjät ulos. Lähteet viittaavat siihen, että lentoyhtiöiden hyökkäykset näyttivät olevan tämän ryhmän tekosia.
Digitaalisen turbulenssin vuosikymmen
Tämä ei ole ensimmäinen kerta, kun lentoyhtiö on joutunut kyberhyökkäyksen kohteeksi. Vuonna 2015 puolalainen lentoyhtiö LOT kärsiä DDoS-hyökkäyksestä joka esti sitä julkaisemasta lentosuunnitelmia, jättäen 1,400 20 matkustajaa jumiin ja XNUMX lentoa peruttua.
Kolme vuotta myöhemmin hyökkääjät varastivat British Airwaysin murtautumalla rahtiyhtiö Swissportin työntekijälle myönnettyyn BA-verkkotunnukseen. Monitärkeän autentikoinnin (MFA) puute mahdollisti hyökkääjien murtautumisen tilin kautta ja Citrixin haavoittuvuuden hyödyntämisen päästäkseen laajempaan BA-verkkoon. Sieltä he pääsivät käsiksi Windows-toimialueen järjestelmänvalvojan tilin tunnistetietoihin, jotka oli tallennettu selkokieliseen muotoon. Hyökkääjä, Magecart, istutti JavaScriptin lentoyhtiön verkkosivustolle ja... varasti 380,000 20 asiakkaan maksukorttitiedot. BA selvisi 183 miljoonan punnan sakolla, joka oli aiemman XNUMX miljoonan punnan sijaan pienempi.
Tällaiset tapaukset ovat niin yleisiä, että ne ovat pyyhkineet ilmailualan käsikirjan pois. Turvallisuuden hallintaohjelmistoja tarjoava Security Scorecard antaa sektorille kyberturvallisuudessa arvosanan 'B'. Organisaation mukaan se ei ole hylätty arvosana, mutta se tekee alan yrityksistä lähes kolme kertaa todennäköisemmin tietomurron uhreja kuin A-luokiteltujen alojen yritykset.
Sääntelyviranomaiset huomioivat asian
Ei ihme, kun otetaan huomioon useimpien lentoyhtiöiden laaja hyökkäyspinta-ala. Kohteena eivät ole pelkästään hallinnolliset järjestelmät. Myös operatiiviset järjestelmät lentokentän laitteista lennon aikana käytettäviin laitteisiin ovat uhattuina.
Useimmat ilmailualan tietomurrot ovat hallinnollisia ja keskittyvät matkustaja- ja maksutietoihin itse lentokoneen sijaan. Tilanne kuitenkin pahenisi huomattavasti, jos joku kohdistaisi hyökkäyksen lennon aikana olevien lentokoneiden operatiiviseen teknologiaan. Tähän mennessä tällaiset hakkeroinnit ovat olleet enimmäkseen konseptin toimivuuden testaamista. Sääntelyviranomaiset kuitenkin toteuttavat edelleen ennaltaehkäiseviä toimenpiteitä. FAA ehdotti uusia sääntöjä viime vuonna lentokonejärjestelmien suojelemiseksi.
Yhdysvaltain liikenneturvallisuusvirasto (TSA) määrätty uudet kyberturvallisuussäännöt lentoasemien ja ilma-alusten käyttäjille vuonna 2023, mukaan lukien verkon segmentointia koskevat vaatimukset. EU julkaistu lokakuussa 2023 annettu täytäntöönpanoasetus (EU) 203/2022 (osa IS), jossa esitetään säännöt ilmailualan organisaatioiden turvallisuusriskien tunnistamiseksi ja hallitsemiseksi. Se tulee voimaan tänä vuonna.
Kestävien ilmailutoimintojen rakentaminen
Mitä ilmailualan yritykset voivat tehdä suojautuakseen kasvavalta kyberriskiltä? Vaikka sääntelystandardit ovat toimialakohtaisia, sääntelyviranomaiset ovat joissakin tapauksissa pyrkineet päällekkäisyys ISO 27001 -standardin kanssaVaikka ilmailualan organisaatioiden on ehkä tehtävä lisätyötä täyttääkseen IS-osassa esitetyt erityiset ilmailun turvallisuusvaatimukset, ne ovat kuitenkin ”johdonmukaisia ja linjassa” ISO-IEC 27001 -standardi, " mukaan EU:n lentoturvallisuusvirasto (EASA).
Lentoyhtiöiden tarvitsemat turvatoimet eivät ole rakettitiedettä. TSA keskittyy verkon segmentointikäytäntöihin ja pääsynhallintaan estääkseen tunkeilijoita murtautumasta verkkoon. Myös kehotuksia ohjelmistojen korjaamiseen tulee. Tällaiset suositukset ovat jopa yleisempiä kuin vessajonot pitkällä lennolla.
Aivan kuten tupakoimattomuus lennolla, hyvien kyberturvallisuuskäytäntöjen omaksuminen lentoliikenneverkoissa on ehdoton edellytys. Matkustajien tilitietojen varastaminen on jo itsessään huono asia, mutta ilman tehokasta suojaa muun kuin voittoa tavoittelevan operaattorin tekemän koordinoidumman hyökkäyksen seuraukset voivat olla paljon, paljon pahempia.
