Si alguna vez has tirado un billete de avión a la basura sin destrozarlo antes o lo has compartido en Instagram, siéntate a ver esta charla. Charla del congreso de hackers de Hamburgo celebrado la semana pasada que muestra lo fácil que es secuestrar el vuelo de otra persona usando solamente una foto de su billete. "A diferencia de otras demostraciones anteriores, en esta no va a haber mucho hacking -advierte Karsten Nohl al principio de su conferencia-. Pero no porque le hayamos perdido el gusto, sino porque no nos ha hecho falta".
|
etiquetas: robar el vuelo , hacking , billete de avión , karsten nohl 
(Por cierto #6, soplar y hacer botellas? no sabía que en castellano también se usaba la expresión :P)
Por cierto, como explica el artículo incluso se puede burlar al sistema cuando piden identificación: puedes simplemente cambiar los datos del viajero y poner los tuyos.
1.- Existen muchas compañías europeas (Lufthansa, Norwegian...) que en sus países no te piden en ningún momento el DNI para acceder. Escaneas el código y se te abre el torno como en el metro.
2.- Este artículo habla precisamente de cambiar el nombre, es decir, no seguir el proceso del punto anterior. Y con esto enlazo con el tercer punto...
Al autor del artículo (no digo el hacker, seguramente el redactor le malinterpretó):
3.- Tu cambia ilegalmente el nombre de un billete por el tuyo propio para colarte en un vuelo. ¿Cómo coño haces para que no descubran que has sido tú el que has realizado la estafa?
Pero para "robar" hay que sacar un beneficio sin que te pillen.
En muchos sitios, puedes colarte y acceder hasta una caja llena de dinero, pero porque la seguridad no está en acceder hasta el dinero, sino de ser capaz de escapar con él. Si cuando consigues poner el dinero en tus manos te encuentras rodeado de seguridad, poco has conseguido robar.
Lo mismo en este caso, si te pones un vuelo de otro a tu nombre, cuando el otro va al aeropuerto y se encuentra con el percal, la compañía aérea no tiene más que ir a por la persona que pretende subirse en el avión habiendo robado a otra.
Esto no quita que el sistema de seguridad que denuncia el hacker sea de chiste. Pero el sensacionalismo que le da el redactor del artículo se pasa tres pueblos.
- Entradas no nominales.
- Asientos no numerados.
- Gran cantidad de público.
La persona se cuela con la entrada del otro, no han comprobado su nombre real, y una vez entre miles de personas es imposible encontrarla.
Mostrar unas entradas de un concierto...
· Por WhatsApp en un grupo de amigos -> Vale, te puedes fiar de ellos.
· Por Facebook -> Estás jugando con fuego, a saber si tus cientos de amigos (y puede que sus amigos) son de fiar.
· Por una página de compraventa al publicar un anuncio -> Tu eres tonto chaval, ¿para qué te van a pagar por tu código si ya le has dado el código? Como encima haya otro tonto que lo compre, vaya discusión se pueden meter los dos pensando cada uno que le ha estafado el otro en lugar de un tercero.
Sin embargo en un vuelo esto no sucede, antes de despegar si le han robado a alguien, encontrar al ladrón es pan comido.
- Puede que ponga un nombre falso y no le controlen a la entrada.
- Puede que lo asientos no sean numerados.
- Pero van asiento por asiento pidiéndole el billete a cada pasajero y se llevan al ladrón antes de despegar.
De todas formas, se tiene que dar el caso de que no se pidan el nombre, y poner uno falso.
En ese caso sí que se puede hacer. Ahora, como les dé por comprobarlo, en un aeropuerto jodido lo tienes para escapar.
Si la clave son unos datos secretos y esos datos son revelados... ¿donde está la sorpresa?
En los aeropuertos se debe comprobar (según la normativa actual, tanto en Europa y los EEUU, y según recomandaciones de la IATA) que el nombre del billete es el mismo que el de la persona que embarca y es el mismo que sale en el sistema al escanearlo, si las aerolíneas no cumplen y nadie reclama seguirán haciéndolo. Hasta que pase algo otra vez...
Edit: hace ya un par de años que se viene hablando de esto.
www.cbsnews.com/news/information-on-boarding-pass-barcodes-poses-perso
krebsonsecurity.com/2015/10/whats-in-a-boarding-pass-barcode-a-lot/
www.cuantocabron.com/trollface/aprende-algo-del-genio-pipi-estrada-no-
Aún recuerdo el tiempo en que sacabas un billete para tu madre, ella no podía volar e iba tu tía con el mismo billete, y se podía sin hacer ningún trámite adicional, simplemente diciéndolo en el aeropuerto. Eso si, aún pasabas por check-in llevaras o no maleta.
p.d: en ningun aeropuerto del espacio schengen te piden Dni para pasar control de seguridad
Ni siquiera me pidieron identificarme en el par de ocasiones en que Frankfurt aumentó las medidas de seguridad ante las posibles amenazas, donde lo único diferente fue que había más policía y más saturación en el tren para ir al aeropuerto ante las posibles (e inexistentes) colas de espera.
Sin embargo, no veo fácil poder sacar ningún provecho de ello. Aunque #13 esté en lo cierto, también es cierto que si tu te cuelas con un QR code suplantando el asiento de otro, cuando venga la persona que ha comprado el billete y demuestre que él es el propietario, te van a pillar. ¡Como mínimo te tienen detenido unas horas como sospechoso de terrorista!
Basicamente ese código es tu password para gestionar el vuelo, pero no es un password muy seguro.
Un ejemplo que explican es como hacer phising con esa información. Por fuerza bruta monitorizan las nuevas reservas. Cuando tú haces tu reserva, recibes un correo con todos los datos de tu vuelo perfectamente correctos, y un enlace para que confirmes tu número de tarjeta, solo que ese enlace no lleva a tuaerolinea.com, si no a suaerolinea.com
¿experiencias?
El PNR es el número de reserva por sí sólo, si no sabes más datos no puedes hacer nada, no hay ninguna información oculta en ese número.
- Que no puedes empezar a jugar con el juego sin conexión a Internet aunque sea un juego local de un jugador
- Que obligatoriamente tienes que descargar actualizaciones antes de jugar (esto no pasa en consola, donde la actualización es opcional si es un juego local)
- Que no puedes revender el juego (en consola ningún juego físico requiere de claves de activación, más que para DLCs o fondos)
Al final es prácticamente lo mismo que comprar el juego directamente en Steam, solo que tienes un bonito disco-pisapapeles para poner en tu estantería.
No quería entrar al trapo del video, pero el acceso a Amadeus y Galileo está registrado y queda anotado lo que ve y hace cada usuario, al igual que hay niveles de acceso y limitaciones de acceso por terminales y puestos.
Cualquier empleado del banco puede ver tus cuentas y realizar movimientos, cualquier empleado de visa puede ver todos tus datos y utilizar tu tarjeta... Y si seguimos así cualquier empleado del registro puede declararte muerto o un empleado de dónde se hacen los DNI hacerse un duplicado del tuyo con su foto.
Con esos datos nada más no puedes hacer nada en la web de la compañía, ni ver el número de tarjeta de crédito. Si el vuelo es el de vuelta no puedes cambiar el nombre del pasajero y para cambiar la fecha te tocará pagar.
Demuestra una completa ignorancia, incluyendo que cuando compras un billete en una aerolínea no lo hacer sólo con ella si forma parte de una alianza, lo haces con el grupo, aunque sea la aerolínea la que lo gestione. Por eso a veces vuelas con una compañía aunque lo hayas comprado con otra. ¿Te suena eso de los código de vuelos compartidos?
Ni siquiera sabe cómo se generan los PNR al hacer la reserva.