బ్రిటిష్ ఎయిర్‌వేస్ డేటా చోరీ: హ్యాకర్లకు చిక్కిన క్రెడిట్, డెబిట్ కార్డు వివరాలు, మూడు అంకెల సీవీవీ కోడ్‌‌లు.. 3.80 లక్షల లావాదేవీలపై ప్రభావం.. అసలు హ్యాకర్లు ఎలా చొరబడ్డారు?

బ్రిటిష్ ఎయిర్‌వేస్ తమ వెబ్‌సైట్, యాప్‌లోకి హ్యాకర్లు చొరబడగలిగారని వెల్లడించింది. వేలాది కస్టమర్ల డేటా చోరీకి గురైందని ప్రకటించింది.

కానీ ఇది ఎలా సాధ్యం?

బ్రిటిష్ ఎయిర్‌వేస్ ఈ డేటా చోరీ గురించి ఎలాంటి సాంకేతిక వివరాలూ బయటపెట్టలేదు. కానీ సైబర్ సెక్యూరిటీ నిపుణులు మాత్రం హ్యాకర్లు కొన్ని పద్ధతుల ద్వారా ఈ దాడి చేసి ఉంటారని భావిస్తున్నారు.

హ్యాకర్లు ఎయిర్‌వేస్ వెబ్‌సైట్, యాప్ నుంచి కస్టమర్ల పేర్లు, అడ్రస్‌, క్రెడిట్ కార్డు వివరాలు సేకరించారు. వారి చేతికి కార్డు నంబర్, ఎక్స్‌పైరీ తేదీ, మూడు అంకెల సీవీవీ నంబర్లు కూడా చిక్కాయి.

సంస్థ తన ప్రకటనలో హ్యాకింగ్ గురించి ఎలాంటి వివరాలూ ఇవ్వలేదు. కానీ కాస్త జాగ్రత్తగా గమనిస్తే హ్యాక్ చేయడానికి అవకాశం ఉన్న కొన్ని మార్గాలు మనకు అందులో కనిపిస్తాయి అని సర్రే యూనివర్సిటీలో సైబర్ సెక్యూరిటీ నిపుణుడు ప్రొఫెసర్ అలన్ వుడ్‌వర్డ్ అన్నారు.

ఎంట్రీ చేస్తున్నప్పుడే డేటా చోరీ?

బ్రిటన్ స్టాండర్ట్ టైమ్ ప్రకారం 2018 ఆగస్టు 21న రాత్రి 10.58 నుంచి 2018 సెప్టంబర్ 5న 09.45 మధ్యలో ఈ హ్యాకింగ్ జరిగినట్టు బ్రిటిష్ ఎయిర్‌వేస్ ప్రకటించింది.

సంస్థ తమ ప్రకటనలో "ఆ రెండు తేదీల మధ్య కార్డు ద్వారా చెల్లింపులు జరిపిన వారికి మాత్రమే రిస్క్ ఉంటుంది. అని చాలా జాగ్రత్తగా చెప్పింది. దీన్ని బట్టి ఈ సైట్‌లోకి ప్రవేశిస్తున్నప్పుడే వివరాలు చోరీ అయినట్టు తెలుస్తోంది. ఎవరో వెబ్‌సైట్‌లోకి చొరబడి స్క్రిప్ట్ రాయగలిగారు" అని అని వుడ్‌వర్డ్ అన్నారు.

అంటే ఒక కస్టమర్ తన క్రెడిట్ కార్డు వివరాలు టైప్ చేయగానే.. బ్రిటిష్ ఎయిర్‌వేస్‌ వెబ్‌సైట్, లేదా యాప్‌లో ఉన్న ఒక మాలిషియస్ కోడ్ ఆ వివరాలను రహస్యంగా రాబట్టి వేరే ఎవరికో పంపించింది.

థర్డ్ పార్టీ సప్లయర్స్ నుంచి కోడ్‌ పొందుపరిచే వెబ్‌సైట్లకు ఇలాంటి సమస్య పెరుగుతోందని ప్రొఫెసర్ వుడ్‌వర్డ్ చెప్పారు. దీనిని సప్లై చైన్ అటాక్ అంటారని చెప్పారు.

ఉదాహరణకు.. పేమెంట్ ఆథరైజేషన్, యాడ్స్ అందించడానికి, లేదా యూజర్లు ఎక్స్‌టర్నల్ డివైస్‌లో లాగిన్ అవడానికి థర్డ్ పార్టీలు ఆ కోడ్‌ను రన్ చేసే అవకాశం ఉంది.

40 వేల మంది యూకే యూజర్ల వివరాలు చోరీ కావడానికి ఆన్‌సైట్ కస్టమర్ సర్వీస్ చాట్‌బోట్‌ కారణమని తెలిసిన తర్వాత, ఇటీవల టికెట్‌మాస్టర్‌పై కూడా ఇలాంటి దాడి ప్రభావం చూపింది.

'ఇంటికి తాళం వేసినా కిటికీకి నిచ్చెన వేసుంది'

"బ్రిటిష్ ఎయిర్‌వేస్‌కు జరిగినట్టు ఇలా ఎక్కడైనా జరిగుంటే.. మరింత సమాచారం లేకుండా దాని గురించి తెలుసుకోవడం కష్టం. బహుశా ఆ సంస్థలోని ఉద్యోగి మాత్రమే ఇలా మాలిషియస్ కోడ్ కోసం వెబ్‌సైట్, యాప్‌లను సులభంగా టాంపర్ చేయవచ్చు" అని వుడ్‌వర్డ్ చెబుతున్నారు.

"హ్యాకర్లకు చిక్కిన క్రెడిట్, డెబిట్ కార్డులపై ఉండే మూడు అంకెల సీవీవీ కోడ్‌ను నిజానికి లైవ్‌లోనే చోరీ చేసి ఉంటారు" అని సైబర్ సెక్యూరిటీ నిపుణుడు, మాజీ సైబర్ సెక్యూరిటీ రీసెర్చర్ రాబర్ట్ ప్రిట్చర్డ్ చెప్పారు.

"ఎందుకంటే, సీవీవీ కోడ్ వివరాలను సంస్థలు స్టోర్ చేయవు. వాటిని చెల్లింపుల సమయంలో మాత్రమే ప్రాసెస్ చేస్తుంటారు. అంటే అది బుకింగ్ సైట్ ద్వారా నేరుగా కాంప్రమైజ్ అయినా అయ్యుండాలి, లేదంటే థర్డ్ పార్టీ ప్రొవైడర్ అయినా అలా చేసుండాలి" అని ఆయన బీబీసీకి చెప్పారు.

ప్రైవేటు సంస్థలు థర్డ్ పార్టీ కోడ్‌ను తమ వెబ్‌సైట్లు, యాప్స్‌లో జోడిస్తాయి. సెక్యూరిటీ బలహీనంగా మారకుండా అవి అలాంటి వాటిపై ఎప్పుడూ నిఘా పెట్టాల్సి ఉంటుంది అని వుడ్‌వర్డ్ తెలిపారు.

"మనం ఇంటి ముందు తలుపుకు బలమైన తాళం వేసుకోవచ్చు. కానీ బిల్డర్ కిటికీ దగ్గర ఒక నిచ్చెన వేసుంటే.. అందులోంచి లోపలికి వచ్చేవారు నేరుగా ఎక్కడికి వెళ్తారో మీకు తెలుసు" అంటారు వుడ్‌వర్డ్.

తమ వెబ్‌సైట్, యాప్ ద్వారా జరిగిన డేటా చోరీకి బ్రిటిష్ ఎయిర్‌వేస్ క్షమాపణలు చెప్పింది. ఆ సమయంలో జరిగిన బుకింగ్స్‌కు సంబంధించి 100 శాతం పరిహారం అందిస్తామని హామీ ఇచ్చింది.

హ్యాకర్ల దాడిలో మొత్తం 380000 లావాదేవీలపై ప్రభావం పడింది. కానీ ఈ డేటా చోరీలో ప్రయాణం, పాస్‌పోర్టు వివరాలు లేకపోవడంతో బాధితులకు కాస్త ఉపశమనం లభించింది.

ఇవి కూడా చదవండి:

(బీబీసీ తెలుగును ఫేస్‌బుక్, ఇన్‌స్టాగ్రామ్‌, ట్విటర్‌లో ఫాలో అవ్వండి. యూట్యూబ్‌లో సబ్‌స్క్రైబ్ చేయండి.)