Σε αυξημένη επιφυλακή καλούνται να βρίσκονται οι τουριστικές επιχειρήσεις και τα ταξιδιωτικά γραφεία, μετά τον εντοπισμό δύο κρίσιμων ευπαθειών σε λογισμικό που χρησιμοποιείται ευρέως για τη λειτουργία ιστοσελίδων. Η διεθνής προειδοποίηση για την κυβερνοασφάλεια προκαλεί ανησυχία στον ταξιδιωτικό κλάδο, καθώς τα συγκεκριμένα κενά θα μπορούσαν να επιτρέψουν σε χάκερ να αποκτήσουν πρόσβαση σε διακομιστές χωρίς κωδικούς σύνδεσης.
Οι ευπάθειες εντοπίστηκαν στη γλώσσα προγραμματισμού PHP από Αμερικανούς ερευνητές κυβερνοασφάλειας, οι οποίοι χρησιμοποίησαν εργαλεία τεχνητής νοημοσύνης για να ανακαλύψουν προβλήματα που είχαν παραμείνει μέχρι σήμερα απαρατήρητα.
Η PHP υποστηρίζει, σύμφωνα με τις εκτιμήσεις που επικαλείται το Travel Weekly, περίπου το 70% των ιστοσελίδων παγκοσμίως, γεγονός που αναδεικνύει το εύρος του δυνητικού κινδύνου.
Η σοβαρότητα της προειδοποίησης αποτυπώθηκε και στο Ηνωμένο Βασίλειο, όπου περισσότερες από 30 κυβερνητικές ιστοσελίδες τέθηκαν εκτός λειτουργίας μετά την έκδοση της σχετικής ειδοποίησης.
Τι πρέπει να ελέγξουν τα ταξιδιωτικά γραφεία
Η Advantage Travel Partnership ενημέρωσε τα μέλη της ότι τα κενά ασφαλείας ενδέχεται να επιτρέψουν σε επιτιθέμενους να εκτελέσουν κακόβουλες εντολές σε ευάλωτους διακομιστές.
Ο οργανισμός συνέστησε στα ταξιδιωτικά γραφεία να επικοινωνήσουν άμεσα με τους παρόχους φιλοξενίας των ιστοσελίδων τους ή τους υπεύθυνους ανάπτυξης λογισμικού, προκειμένου να διαπιστώσουν εάν χρησιμοποιούν PHP και εάν έχουν εγκατασταθεί οι απαραίτητες ενημερώσεις ασφαλείας.
Παράλληλα, ζήτησε από τις επιχειρήσεις να παρακολουθούν τυχόν ασυνήθιστη δραστηριότητα στις ιστοσελίδες τους.
Η Advantage διευκρίνισε ότι οι επιχειρήσεις που χρησιμοποιούν τη δική της υπηρεσία Advantage Website Solution δεν επηρεάζονται από τις συγκεκριμένες ευπάθειες.
Από την πλευρά της, η βρετανική ένωση ταξιδιωτικών πρακτόρων ABTA ανακοίνωσε ότι η ιστοσελίδα της δεν επηρεάζεται, ενώ μέχρι στιγμής δεν έχει λάβει αναφορές από μέλη της για σχετικά περιστατικά.
Προειδοποίηση από το Εθνικό Κέντρο Κυβερνοασφάλειας
Το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου (NCSC) προειδοποίησε ότι το πρόβλημα μπορεί να επιτρέψει την εκτέλεση εντολών σε διακομιστές που χρησιμοποιούν ευάλωτες εκδόσεις PHP.
Σύμφωνα με τις οδηγίες του, οι οργανισμοί θα πρέπει να προχωρήσουν στην εγκατάσταση των τελευταίων διορθωμένων εκδόσεων του λογισμικού ή, εφόσον αυτό δεν είναι εφικτό, να εξετάσουν την προσωρινή απενεργοποίηση των επηρεαζόμενων συστημάτων.
Ο Chris Hughes, συνιδρυτής της Simply Cruises, χαρακτήρισε τον κίνδυνο εξαιρετικά σοβαρό, παρομοιάζοντας την ευπάθεια με μια επιχείρηση της οποίας η κεντρική είσοδος έχει μείνει χωρίς αποτελεσματική κλειδαριά.
Όπως εξήγησε, η αντιμετώπιση του προβλήματος δεν είναι πάντοτε τόσο απλή όσο μια συνηθισμένη ενημέρωση εφαρμογής, καθώς παλαιότερα τεχνολογικά συστήματα ενδέχεται να απαιτούν εκτενέστερες αναβαθμίσεις.
Ο ίδιος επισήμανε ότι αρκετές τουριστικές επιχειρήσεις δεν διαθέτουν εσωτερικές ομάδες πληροφορικής και εξαρτώνται από εξωτερικούς συνεργάτες για τη συντήρηση των συστημάτων τους.
Η Simply Cruises, σύμφωνα με τον Hughes, προχώρησε άμεσα στις απαραίτητες διορθώσεις και σε συνεχείς ελέγχους των υποδομών της.
Η εξάρτηση των τουριστικών επιχειρήσεων από τρίτους παρόχους
Την ανάγκη έγκαιρης επικοινωνίας με τους τεχνολογικούς συνεργάτες υπογράμμισε και ο James Brightley, Chief Technology Officer της εταιρείας ταξιδιωτικού λογισμικού TProfile.
Όπως ανέφερε, η εταιρεία πραγματοποίησε πλήρη έλεγχο των συστημάτων της, παρότι υπήρχε η εκτίμηση ότι δεν επηρεαζόταν από τις ευπάθειες.
Κατά τον ίδιο, τα ταξιδιωτικά γραφεία πρέπει να γνωρίζουν όχι μόνο εάν χρησιμοποιούν τα ίδια PHP, αλλά και εάν τη χρησιμοποιούν οι εταιρείες από τις οποίες προμηθεύονται τεχνολογικές υπηρεσίες.
Παρά τη σοβαρότητα του ζητήματος, στο δημοσίευμα δεν αναφέρονται επιβεβαιωμένα περιστατικά εκμετάλλευσης των συγκεκριμένων ευπαθειών σε τουριστικές επιχειρήσεις.
Η προειδοποίηση αναδεικνύει, πάντως, τη σημασία της τακτικής αναβάθμισης των ψηφιακών υποδομών σε έναν κλάδο που βασίζεται ολοένα περισσότερο στις ηλεκτρονικές κρατήσεις, στις διαδικτυακές πληρωμές και στη διαχείριση δεδομένων πελατών.
