Vazamento de dados da Utair em 2019

Os tipos de dados listados neste registro são os campos Datas de nascimento, Endereços de e-mail, Gêneros, Detalhes do programa de fidelidade, Nomes, Números de passaporte, Números de telefone e Endereços físicos. Não há campos de senhas ou cartões de pagamento listados; no entanto, a presença de números de passaporte, datas de nascimento e detalhes do programa de fidelidade pode levar a ataques direcionados aos usuários em processos de verificação de identidade.

Os clientes de companhias aéreas podem estar acostumados a receber mensagens sobre passagens, check-in, bagagem, alterações de voos, pontos de fidelidade, documentos para vistos, verificação de passaporte e reembolsos. Essa comunicação habitual sobre viagens facilita que mensagens falsas pareçam autênticas. Uma mensagem recebida pelo usuário com o nome correto, informações de passaporte ou referências ao programa de fidelidade pode ser vista como uma notificação verdadeira da companhia aérea.

O campo de números de passaporte torna este registro particularmente sensível. O número do passaporte, junto com a data de nascimento, o nome e o endereço físico, pode ser usado indevidamente em processos de verificação de identidade ou de documentação de viagem. As pessoas afetadas devem verificar alterações inesperadas de passagens, ofertas de auxílio com vistos, solicitações de envio de documentos ou de verificação de passaporte pelos canais conhecidos da companhia aérea, e não pelo link da mensagem.

O campo de detalhes do programa de fidelidade aumenta o risco de fraude em contas de fidelidade. Milhas aéreas, categoria de associado, uso de pontos ou mensagens de campanhas podem ser usados para direcionar o usuário a uma página de login falsa. As contas de fidelidade devem usar senhas fortes e exclusivas, e é importante acompanhar as transferências de pontos e as alterações de perfil.

Os campos de telefone e endereço físico permitem a realização de ataques por SMS, ligações e correspondência. Mensagens como cobranças falsas de taxas de bagagem, reembolsos de voos, upgrades de assento, atualizações de informações de passageiros ou solicitações urgentes de documentos exigem atenção especial. Mensagens que solicitam códigos de verificação, cartões de pagamento, imagens de passaporte ou informações pessoais adicionais devem ser consideradas suspeitas.

Embora este vazamento seja antigo, campos como passaporte e data de nascimento mantêm seu valor por muito tempo. Mesmo que alguns documentos sejam renovados, números de passaportes antigos, histórico de viagens ou informações sobre contas de fidelidade podem ser usados em engenharia social. Os usuários não devem tratar uma conta antiga de companhia aérea como irrelevante e devem verificar também as contas de serviços de viagem e hotéis que utilizam o mesmo endereço de e-mail.

Os clientes afetados da Utair devem ter cautela com mensagens relacionadas a voos, passagens, bagagem, pontos de fidelidade, verificação de passaporte, documentos para vistos ou reembolsos. Mesmo que a mensagem apresente informações pessoais corretas, as transações devem ser realizadas pelos canais oficiais conhecidos. Embora este registro não contenha senha, ele representa um risco de longo prazo de fraudes de identidade e relacionadas a viagens devido aos campos de passaporte, data de nascimento e programa de fidelidade.

O impacto de longo prazo das informações de viagem no registro da Utair é importante. Mesmo que os dados antigos de passaporte ou de fidelidade estejam desatualizados, fraudadores podem usá-los para conquistar a confiança dos usuários. Se o usuário já realizou transações com a mesma companhia aérea ou com agências afiliadas, mensagens com informações de passagens antigas ou de pontos podem parecer mais convincentes.

As contas de serviços de viagem costumam reunir informações de e-mail, telefone, passaporte e pagamento. Por isso, as pessoas afetadas devem verificar não apenas a conta da Utair, mas também as contas de hotéis, locadoras de veículos, seguros de viagem e programas de fidelidade de outras companhias aéreas que utilizam o mesmo e-mail. Em especial, mensagens que solicitam verificação de passaporte ou transferências de pontos devem ser verificadas por um canal independente.

Para as instituições, o incidente da Utair mostra que as informações de passaporte e de contato devem ser tratadas como dados que exigem proteção especial nos programas de fidelidade de companhias aéreas. Registros antigos de viagens e o histórico das contas de fidelidade não devem ser mantidos por longos períodos sem necessidade.

Os passageiros também devem recorrer ao canal oficial para verificar qualquer alerta acompanhado de documentos de viagem.

Essa abordagem reduz o risco de fraude.