Hackerin entdeckt No-Fly-Liste der US-Regierung auf ungesichertem Server – #osint #shodan

“Maia arson crimew” will die zehntausende Personen betreffende Datenbank Medien, NGOs und Forschern zur Verfügung stellen. Wer als Fluggast sehr unangenehm auffällt und etwa an Bord randaliert, landet in der Regel auf einer Sperrliste der Fluglinie. Und muss sich in Zukunft nach einem anderen Transportunternehmen für seine Reisen per Flieger umsehen. Aber nicht nur die Airlines führen Buch über “Personae non gratae”, sondern auch Regierungen. Das bekannteste Beispiel ist wohl die Watchlist des US-amerikanischen State Department, die man auch als dessen “No Fly List” kennt. Sie beinhaltet Personen ohne US-Staatsbürgerschaft, denen die Einreise in das Land auf jeden Fall verwehrt werden soll. Und diese Liste ist nun, offenbar zufällig, von der Schweizer Hackerin “Maia arson crimew” entdeckt worden. Liste lag in ungesicherten Projektdaten Wie sie in ihrem Blog berichtet, war sie eigentlich aus Langeweile auf schlecht geschützten Servern unterwegs, die sich über die Suchmaschine Shodan auffinden lassen. Dabei stieß sie auch auf einen Server der US-Fluggesellschaft Commutair. Es handelte sich dabei um eine Installation laufend mit der Open-Source-Automatisierungssoftware Jenkins, die häufig für die Verwaltung von Testumgebungen verwendet wird. Nachdem es zunächst so aussah, als seien dort nur eher uninteressante Informationen für Entwicklungsprojekte zu finden, entpuppte sich bei näherer Betrachtung als “Jackpot”. Neben etlichen Informationen über Angestellte im Bereich der Bordcrews fand sich unter den praktisch nicht abgesicherten Projektdaten auch die berühmt-berüchtigte Einreise-Verbotsliste. (…) Gegenüber “Vice Motherboard” hat Commutair den Leak “aufgrund eines falsch konfigurierten Entwicklungssservers” bestätigt. Laut der Airline handelt es sich um die No-Fly-List mit Datenstand von 2019, die Vornamen, Nachnamen und Geburtsdaten enthält. Auf Kundendaten soll Crimew keinen Zugriff gehabt haben. Zur Aufarbeitung der Causa wurde der Jenkins-Server vom Netz genommen und die US-Cybersicherheitsagentur informiert.

via standard: Hackerin entdeckt No-Fly-Liste der US-Regierung auf ungesichertem Server

siehe auch: EXCLUSIVE: U.S. airline accidentally exposes ‘No Fly List’ on unsecured server. One of the most sensitive U.S. government documents was left online. An unsecured server discovered by a security researcher last week contained the identities of hundreds of thousands of individuals from the U.S. government’s Terrorist Screening Database and “No Fly List.”  Located by the Swiss hacker known as maia arson crimew, the server, run by the U.S. national airline CommuteAir, was left exposed on the public internet. It revealed a vast amount of company data, including private information on almost 1,000 CommuteAir employees. Analysis of the server resulted in the discovery of a text file named “NoFly.csv,” a reference to the subset of individuals in the Terrorist Screening Database who have been barred from air travel due to having suspected or known ties to terrorist organizations. The list, according to crimew, appeared to have more than 1.5 million entries in total. The data included names as well as birth dates. It also included multiple aliases, placing the number of unique individuals at far less than 1.5 million.

Von <a rel=”nofollow” class=”external text” href=”https://www.flickr.com/people/22147358@N04″>Eddie Maloney</a> from North Las Vegas, USA – <a rel=”nofollow” class=”external text” href=”https://www.flickr.com/photos/eddie_m/2287623966/”>SMOKEY TOUCHDOWN</a>, CC BY-SA 2.0, Link