Как найти данные туриста

Два в одном: данные туристов и билеты на культурные мероприятия находились в открытом доступе

Сегодня рассмотрим сразу два кейса – данные клиентов и партнеров двух совершенно разных компаний оказались в свободном доступе «благодаря» открытым серверам Elasticsearch с логами информационных систем (ИС) этих компаний.

В первом случае — это десятки тысяч (а может и сотни тысяч) билетов на различные культурные мероприятия (театры, клубы, речные прогулки и т.п.) продаваемые через систему «Радарио» (www.radario.ru).

Во втором случае — это данные о туристических поездках тысяч (возможно нескольких десятков тысяч) путешественников, купивших туры через турагентства, подключенные к системе «Слетать.ру» (www.sletat.ru).

Сразу отмечу, что отличаются не только названия компаний, допустивших попадание данных в открытый доступ, но и подход этих компаний к признанию инцидента и последующая реакция на него. Но обо всем по порядку…

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Случай первый. «Радарио»

Вечером 06.05.2019 наша система обнаружила в свободном доступе сервер Elasticsearch, принадлежащий сервису по продаже электронных билетов «Радарио».

По уже сложившейся печальной традиции, сервер содержал детальные логи информационной системы сервиса, из которых можно было получить персональные данные, логины и пароли пользователей, а также непосредственно сами электронные билеты на различные мероприятия по всей стране.

Общий объем логов превышал 1 Тб.

По данным поисковика Shodan сервер находился в открытом доступе с 11.03.2019. Я оповестил сотрудников «Радарио» 06.05.2019 в 22:50 (МСК) и 07.05.2019 около 09:30 сервер стал недоступен.

В логах находился универсальный (единый) токен авторизации, предоставляющий доступ ко всем купленным билетам по специальным ссылкам, вида:

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

Проблема также заключалась в том, что для учета билетов использовалась сквозная нумерация заказов и простым перебором номера билета (XXXXXXXX) или заказа (YYYYYYY), можно было получить все билеты из системы.

Для проверки актуальности базы я даже честно купил себе самый дешевый билет:

и позже обнаружил его на общедоступном сервере в логах ИС:

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

Отдельно хочется подчеркнуть, что были доступны билеты как на уже прошедшие мероприятия, так и на те, которые еще только планируются. То есть, потенциальный злоумышленник мог воспользоваться чужим билетом для прохода на планируемое мероприятие.

В среднем в каждом индексе Elasticsearch, содержащем логи за один определенный день (начиная с 24.01.2019 и по 07.05.2019), находилось от 25 до 35 тыс. билетов.

Помимо самих билетов в индексе содержались логины (адреса электронной почты) и текстовые пароли для доступа в личные кабинеты партнеров «Радарио», продающих билеты на свои мероприятия через данный сервис:

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

Всего было обнаружено более 500 пар логин/пароль. В личных кабинетах партнеров видна статистика продаж билетов:

Также в открытом доступе находились ФИО, телефоны и адреса электронной почты покупателей, решивших осуществить возврат, купленных ранее билетов:

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

За один, случайно выбранный день, было обнаружено более 500 таких записей.

Я получил ответ на оповещение от технического директора «Радарио»:

Я технический директор Радарио, и хотел бы поблагодарить за обнаружение проблемы. Доступ к эластику, как вам известно, мы закрыли и решаем вопрос с перевыпуском билетов для клиентов.

А чуть позже компания сделала официальное заявление:

В электронной системе продажи билетов Radario была обнаружена и своевременно устранена уязвимость, которая могла привести к утечке данных клиентов сервиса, сообщил Агентству городских новостей «Москва» директор по маркетингу компании Кирилл Малышев.

«Нами действительно была обнаружена уязвимость в работе системы, связанная с регулярным обновлением, которая была устранена сразу же после обнаружения. В результате уязвимости при определенных условиях недружелюбные действия третьих лиц могли привести к утечке данных, однако каких-либо инцидентов зафиксировано не было. В данный момент все неисправности устранены», — сообщил К.Малышев.

Представитель компании подчеркнул, что было принято решение перевыпустить все билеты, проданные за время решения проблемы, чтобы полностью исключить возможность любого мошенничества в отношении клиентов сервиса.

Спустя несколько дней я проверил доступность данных по утекшим ссылкам — доступ к «засвеченным» билетам действительно был прикрыт. На мой взгляд это грамотный, профессиональный подход к решению проблемы утечки данных.

Случай второй. «Слетать.ру»

Рано утром 15.05.2019 DeviceLock Data Breach Intelligence выявил общедоступный сервер Elasticsearch с логами некой ИС.

Позже было установлено, что сервер принадлежит сервису по подбору туров «Слетать.ру».

Из индекса cbto__0 можно было получить тысячи (11,7 тыс. включая дубли) адресов электронной почты, а также некоторую платежную информацию (стоимость туров) и данные тур поездок (когда, куда, данные авиабилетов всех вписанных в тур путешественников и т.п.) в количестве около 1,8 тыс. записей:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"XXX@mail.ru","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{\"TourOfficeAdditionalInfo\":{\"IsAdditionalPayment\":false},\"BarrelAdditionalInfo\":{\"Tickets\":[{\"Passenger\":{\"FIO\":\"XXX VIKTORIIA\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false},{\"Passenger\":{\"FIO\":\"XXX ANDREI\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false},{\"Passenger\":{\"FIO\":\"XXX Andrei\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false}],\"Segments\":[{\"Flight\":\"5659\",\"AviaCompany\":null,\"AviaCompanyIataCode\":null,\"DepartureCity\":\"LED\",\"DepartureAirport\":\"LED\",\"DepartureAirportIataCode\":\"LED\",\"DepartureDate\":\"2019-04-11T02:45:00\",\"DepartureTime\":null,\"ArrivalCity\":\"SHJ\",\"ArrivalAirport\":\"SHJ\",\"ArrivalAirportIataCode\":\"SHJ\",\"ArrivalDate\":\"2019-04-11T09:40:00\",\"ArrivalTime\":null,\"FareCode\":null},{\"Flight\":\"5660\",\"AviaCompany\":null,\"AviaCompanyIataCode\":null,\"DepartureCity\":\"SHJ\",\"DepartureAirport\":\"SHJ\",\"DepartureAirportIataCode\":\"SHJ\",\"DepartureDate\":\"2019-04-14T10:45:00\",\"DepartureTime\":null,\"ArrivalCity\":\"LED\",\"ArrivalAirport\":\"LED\",\"ArrivalAirportIataCode\":\"LED\",\"ArrivalDate\":\"2019-04-14T15:50:00\",\"ArrivalTime\":null,\"FareCode\":null}]},\"Tickets\":[{\"Passenger\":{\"FIO\":\"XXX VIKTORIIA\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false},{\"Passenger\":{\"FIO\":\"XXX ANDREI\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false},{\"Passenger\":{\"FIO\":\"XXX Andrei\"},\"ReservationSystem\":null,\"TicketNumber\":null,\"IsRefundPossible\":false}],\"Segments\":[{\"Flight\":\"5659\",\"AviaCompany\":null,\"AviaCompanyIataCode\":null,\"DepartureCity\":\"LED\",\"DepartureAirport\":\"LED\",\"DepartureAirportIataCode\":\"LED\",\"DepartureDate\":\"2019-04-11T02:45:00\",\"DepartureTime\":null,\"ArrivalCity\":\"SHJ\",\"ArrivalAirport\":\"SHJ\",\"ArrivalAirportIataCode\":\"SHJ\",\"ArrivalDate\":\"2019-04-11T09:40:00\",\"ArrivalTime\":null,\"FareCode\":null},{\"Flight\":\"5660\",\"AviaCompany\":null,\"AviaCompanyIataCode\":null,\"DepartureCity\":\"SHJ\",\"DepartureAirport\":\"SHJ\",\"DepartureAirportIataCode\":\"SHJ\",\"DepartureDate\":\"2019-04-14T10:45:00\",\"DepartureTime\":null,\"ArrivalCity\":\"LED\",\"ArrivalAirport\":\"LED\",\"ArrivalAirportIataCode\":\"LED\",\"ArrivalDate\":\"2019-04-14T15:50:00\",\"ArrivalTime\":null,\"FareCode\":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

К слову сказать, линки на оплаченные туры вполне рабочие:

В индексах с именем graylog_ в открытом виде находились логины и пароли турагентств, подключенных к системе «Слетать.ру» и продающих туры своим клиентам:

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

По моим прикидкам засветилось несколько сотен пар логин/пароль.

Из личного кабинета турагентства на портале agent.sletat.ru можно было получить данные клиентов, включая номера паспортов, загранпаспортов, даты рождения, ФИО, телефоны и адреса электронной почты.

Я оповестил сервис «Слетать.ру» 15.05.2019 в 10:46 (МСК) и через несколько часов (до 16:00) сервер Elasticsearch исчез из свободного доступа. Позднее в ответ на публикацию в Коммерсанте, руководство сервиса сделало весьма странное заявление через СМИ:

Руководитель компании Андрей Вершинин пояснил, что «Слетать.ру» предоставляет ряду крупнейших туроператоров-партнеров доступ к истории запросов в поисковой системе. И предположил, что DeviceLock получила его: «Однако в указанной базе нет паспортных данных туристов, логинов и паролей турагентств, платежных данных и т. д.». Андрей Вершинин отметил, что никаких доказательств столь серьезных обвинений «Слетать.ру» до сих пор не получила. «Сейчас пытаемся связаться с компанией DeviceLock. Полагаем, что это заказуха. Кому-то не нравится наш стремительный рост», – добавил он. «

Как показано выше и логины, и пароли, и паспортные данные туристов находились в свободном доступе достаточно продолжительное время (как минимум с 29.03.2019, когда сервер компании впервые был зафиксирован в открытом доступе поисковиком Shodan). Разумеется, с нами никто не связывался. Надеюсь, что, хотя бы турагентства они оповестили об утечке и заставили их сменить пароли.

Новости про утечки информации и инсайдеров всегда можно найти на моем Telegram-канале «Утечки информации».

Запись на консультацию

Основная функция туристического агентства заключается в подборе, поиске и дальнейшем бронировании туров для своих клиентов.  Причем именно поиск, а не непосредственно бронирование, туров занимает большую часть времени. У каждого конкретного клиента запросы и требования касательно особенностей путешествия индивидуальны, поэтому менеджеру туристической компании нужно уметь быстро и легко ориентироваться среди разнообразия турпродуктов.

Раньше туроператоры  рассылали имеющиеся предложения по средствам факса. С появлением и активным внедрением информационных технологий каждый уважающий себя туроператор стал выкладывать информацию о наличии и стоимости того или иного тура на своем собственном сайте. Этот способ гораздо более быстрый и удобный. 

На сайтах большинства туроператоров до сих пор можно найти прайс-листы в формате Word или Excel. Другие операторы на своих сайтах предлагают не только список прайс-листов, но реализуют возможность подбора туров и бронирования их в режиме online.  Но постоянно растущий темп жизни обуславливает необходимость в создании еще более оперативного и доступного средства поиска и подбора туров. В качестве такого способа на сегодняшний день выступают туристские поисковые системы.

Модули поиска туров на сайте турагентства — это простой и эффективный метод продажи туров через Интернет. Поисковые модули позволят потенциальным клиентам находить информацию о предложениях от всех ведущих туроператоров России.

Online-поисковик на сайте турагентства на сегодняшний день является важным и незаменимым инструментом дополнительных продаж, возможности которого позволяют круглосуточно обрабатывать заявки клиентов и оперативно предлагать лучшие варианты по запросу. Поисковый модуль может не только продавать за менеджера туры, но и служить дополнительным фактором продвижения турагентства в поисковых системах.

Туристические поисковые системы объединяют в своих базах данных информацию от множества туроператоров, что позволяет агентству видеть полную картину рынка.

Положительным моментом является то, что поисковые системы концентрируют информацию не только от туроператоров, имеющих свои базы данных и предоставляющих агентствам возможность искать туры по своим поисковикам, но и информацию от туроператоров, которые вывешивают свои предложения в виде прайс-листов. Также поисковые системы занимаются тем, что упорядочивают и систематизируют информацию от туроператора, предоставляя ее менеджеру туристического агентства в цельном и удобном виде.

Туристские поисковые системы сводят воедино все составляющие тура – цену, программу тура, информацию по рейсам и отелям. Наличие всей необходимой информации в одном месте дает возможность менеджеру сразу же продемонстрировать клиенту отель, дать полную информацию по рейсу и огласить программу тура, не затрачивая лишнее время на обращение к дополнительным источникам [1]. 

 Туристические поисковые системы реализовывают множество функциональных возможностей, среди которых возможность оставлять информацию об остановке продаж непосредственно в турах, это позволяет закрывать продажи турпродуктов, на которые невозможен вылет или размещение в отеле.

 Поиск тура по различным комбинациям параметров удобно осуществлять в специально разработанных формах. Информацией, представленной в таком систематизированном виде, очень легко анализировать, и можно гораздо быстрее и удобнее найти ответы на все необходимые запросы.

Самая важная и полезная для менеджера туристической компании функция – возможность сравнивать множество цен, выбирая самую выгодную на данный момент [2]. Самостоятельный поиск не даст туристам таких результатов, и этот факт является очень сильным конкурентным преимуществом для туристических компаний и отличным аргументов для привлечения клиентов.

Несмотря на все достоинства использования туристских поисковых систем для организации своего бизнеса, все же они имеет один существенный недостаток. Всю информацию о турах, накопленную в своих базах, туристские поисковые системы заимствуют от туроператоров. В  процессе перекачивания информации возможна ее частичная утрата, искажение, либо потеря актуальности из-за задержки по времени.

На актуальность и достоверность информации, представленной в туристских поисковых системах, может повлиять большое количество факторов. Например, различные варианты форматов представленных предложений от туроператоров, к каждому из которых поисковая система должна найти индивидуальный подход; разночтения в названиях гостиниц, их категорий и прочей информации, которые порождают необходимость в создании специальных справочников.

Также довольно часто источником ошибки является сам прайс-лист туроператора, в котором неверно рассчитана цена или есть скрытые ячейки, невидимые для глаза, но видимые для машины. Запоздалая информация от туроператора по поводу закрытия продаж на туры является еще одним фактором, который негативно влияет на качество работы поисковых систем.

Туризм уже давно быстрыми темпами движется в online-сервисы, где у туриста появляется возможность самостоятельно найти лучшие варианты для себя без обременительных звонков, отправок заявок почтой или же личных визитов в туристическую фирму. На сегодняшний день существует множество онлайн-поисковиков туров. Некоторые из них отличаются актуальностью, списком туроператоров, возможностью настройки отдельных функций, либо встраиванием в дизайн сайта, простотой использования для клиента, и, конечно же, ценой.

На российском рынке представлены и активно используются следующие туристические поисковые системы:  ruSPO, Слетать.ру, Бронни, Ехать, Турвизор и TourClient. В таблице  представлен сравнительный анализ данных поисковых систем. Критерием для сравнения выступает наличие или отсутствие конкретного функционального модуля  в системе.

Таблица – Сравнительный анализ туристических поисковых систем

RUSPO по праву является первой, крупнейшей и наиболее популярной бесплатной поисковой туристической системой. Поисковая система RUSPO является абсолютно бесплатной в использовании. Поиск ведётся среди актуальных предложений более чем 100 туроператоров по заданным пользователем параметрам.

Слетать.ру – это система поиска и онлайн-бронирования туров для туристов и агентств. С компанией сотрудничают более 25 000 турагентов.

Поисковые модели Бронни.ру позволяют максимально быстро и эффективно обслуживать клиентов, консультировать по туристическим направлениям, и главное иметь доступ к актуальным и регулярно обновляемым туристическим предложениям.

Система поиска и бронирования туров «Ехать!» начала свою работу в 2003 году. Миссия проекта — обеспечить на рынке туризма качественное обслуживание клиентов и дать конкурентные возможности для развития туристических агентств России и стран СНГ. Компания предлагает программное и аппаратное обеспечение, способное решать все оперативные задачи продающих менеджеров по туризму, и отвечающее их индивидуальным требованиям.

Поисковая система Турвизор на фоне конкурентов выделяется модулем «Календарь туров». Модуль календарь туров позволяет туристам получить удобный обзор вариантов отдыха. Включает информацию о погоде, сезонности, отображает даты вылетов и уровень цен на каждую дату. Более 2 100 туристических агентств работают с системой Турвизор.

TourClient – это набор интерактивных программных модулей для сайта туристической компании. Модули TourClient были впервые разработаны и внедрены компанией более 8-ми лет назад. И с тех пор успешно выполняют свою задачу на сайтах нескольких тысяч туристических агентств, список которых постоянно пополняется.

Библиографический список

1. Лебедева Т.Е., Егоров Е.Е.  ЭЛЕКТРОННЫЙ УЧЕБНО-МЕТОДИЧЕСКИЙ КОМПЛЕКС “РАЗРАБОТКА ТУРИСТИЧЕСКИХ МАРШРУТОВ И ПРОГРАММ” (НАПРАВЛЕНИЕ 43.04.02 – “ТУРИЗМ ”, ПРОФИЛЬ – МАГИСТРАТУРА) // Хроники объединенного фонда электронных ресурсов Наука и образование. 2016. № 7 (86). С. 9.
2. Булганина С.В., Зубарева Н.А.   МАРКЕТИНГОВОЕ ИССЛЕДОВАНИЕ ВЫЯВЛЕНИЯ НАИБОЛЕЕ ПОПУЛЯРНЫХ МЕСТ ОТДЫХА В РОССИИ // В сборнике: Индустрия туризма и сервиса: состояние, проблемы, эффективность, инновации сборник статей по материалам II Международной научно-практической конференции. 2015. С. 117-120.

Количество просмотров публикации: Please wait

Все статьи автора «Булганина Светлана Викторовна»

База данных Access Путешествие

База данных должна содержать следующие поля: код тура, наименование страны, отель, питание, количество дней, стоимость, фамилия клиента, имя, отчество, паспортные данные, адрес, телефон, № договора, дата отъезда.

Создать форму для внесения данных о турах. Создать ленточную форму для заполнения данных о клиентах. Создать многотабличную форму для регистрации клиента и заключенного им договора на путешествие.

Создать следующие запросы:
— определить фамилии и имена клиентов, которые отправились в путешествие в определенный день (с параметром);
— определить для каждого клиента тур и дату приезда (вычисляемое поле);
— итоговый запрос, с помощью которого можно определить для каждой страны в отдельности общее число туристов.
Создать отчет, сгруппированный по Датам отъезда и Странам, со следующими полями: ФИО клиента, Отель, Питание, Дата приезда. Создать кнопочную форму.

База данных Access Путешествие содержит 3 таблиц, 3 запроса, 4 формы + главная кнопочная форма, 1 отчет. Данная база данных Access является учебной, подходит для дальнейшей оптимизации и доработки под собственные нужды.

Пояснительной записки WORD нет!

Цель практических заданий – приобретение навыков анализа предметной области, проектирования базы данных, ее физической реализации в СУБД Access.
Результат выполнения работы представляется в виде базы Access, который должен содержать:
• структуру спроектированных таблиц,
• схему данных со связями между таблицами,
• формы, обеспечивающих интерфейс пользователя,
• запросы,
• отчеты,
• главную кнопочную форму.

Запрос «Дата приезда» — База данных Access Путешествие

Запрос «Число туристов по странам» — База данных Access Путешествие

Форма «Список клиентов» — База данных Access Путешествие

Форма «Туры» — База данных Access Путешествие

Отчет по поездкам — База данных Access Путешествие

Главная кнопочная форма

Скачать базу данных (БД) MS Access; БД Access Путешествие; турфирма; туристы; база данных access; бд access; субд access; базы данных access; access пример; программирование access; готовая база данных; создание база данных; база данных СУБД; access курсовая; база данных пример; программа access; access описание; access реферат; access запросы; access примеры; скачать бд access; объекты access; бд в access; скачать субд access; база данных ms access; субд access реферат; субд ms access; преимущества access; базу данных; скачать базу данных на access; базы данных; реляционная база данных; системы управления базами данных; курсовая база данных; скачать базу данных; база данных access скачать; базы данных access скачать;