- OneFly membocorkan ribuan catatan sensitif pelanggan melalui instance Elasticsearch yang tidak aman
- Data termasuk nama, ID, detail penerbangan, info lengkap kartu kredit, dan token JWT
- Cybernews mendesak kontrol akses, penyempurnaan pencatatan log, dan pemberian izin IP untuk memitigasi risiko
Perusahaan teknologi perjalanan dan konten penerbangan OneFly rupanya telah membocorkan ribuan catatan sensitif pelanggan, termasuk informasi pembayaran yang belum diedit, secara online.
Peneliti keamanan dari berita siber mengatakan mereka baru-baru ini menemukan “ribuan catatan” yang bocor dari sembilan Aplikasi Java Spring internal secara real-time, melalui instance Elasticsearch.
Catatan tersebut meliputi nama orang, tanggal lahir, rincian dokumen identitas, nomor penerbangan, harga tiket, tanggal, bandara tujuan, rincian lengkap kartu kredit, dan token JWT.
Bagaimana cara memitigasi risiko tersebut
berita siber mengatakan tidak mungkin untuk menentukan secara pasti kapan data tersebut dihasilkan, atau dibocorkan, namun bukti menunjukkan bahwa hal tersebut terjadi pada awal Oktober 2025. Kami juga tidak mengetahui secara pasti berapa banyak orang yang terkena dampak pelanggaran tersebut, namun para peneliti mengatakan bahwa mereka mengidentifikasi sekitar 10.000 catatan identitas dan 6.000 kartu pembayaran dan menyebut jumlah ini “agak minimal”.
OneFly adalah perusahaan teknologi perjalanan dan konten penerbangan yang bertindak terutama sebagai agregator konten perjalanan global dan pemasok tiket pesawat. Ini menghubungkan maskapai penerbangan, agen perjalanan online (OTA), dan mitra teknologi perjalanan melalui API terpadu untuk memberikan akses ke inventaris tiket di seluruh dunia, termasuk tarif maskapai berbiaya rendah dan GDS/private pricing.
Ini bukanlah perusahaan kecil. Perusahaan ini memiliki antara 50 dan 200 karyawan, dan tampaknya melayani lebih dari 100 operator dan OTA besar di seluruh dunia.
Selain hal yang sudah jelas – menggunakan data pembayaran untuk melakukan transfer kawat palsu – ada berbagai cara yang dapat dilakukan penjahat dunia maya untuk menyalahgunakan informasi ini. Mereka bisa mencuri identitas pelanggan untuk mendapatkan keuntungan tertentu, atau mereka dapat menjangkau pelanggan yang melakukan spoofing pada maskapai penerbangan dan agen perjalanan.
“Selain itu, token autentikasi pengguna internal yang terekspos dapat digunakan untuk peniruan identitas pengguna guna memperoleh lebih banyak informasi dari sistem internal perusahaan, mengingat Elastic secara rutin mencatat token yang valid saat ini,” berita siber menjelaskan.
Untuk memitigasi risiko, bisnis harus mengonfigurasi aturan Kontrol Akses dan membatasi akses ke log aplikasi, menyempurnakan proses pencatatan, dan menerapkan daftar putih IP (atau serupa) saat perbaikan sedang berlangsung.
Antivirus terbaik untuk semua anggaran
Ikuti TechRadar di Google Berita Dan tambahkan kami sebagai sumber pilihan untuk mendapatkan berita, ulasan, dan opini pakar kami di feed Anda. Pastikan untuk mengklik tombol Ikuti!
Dan tentu saja Anda juga bisa Ikuti TechRadar di TikTok untuk berita, review, unboxing dalam bentuk video, dan dapatkan update rutin dari kami Ada apa juga.
