El código de barras de las tarjetas de embarque revela más información de la que crees

Estás a punto de embarcar en el avión que te lleva a tu esperado destino y, qué mejor forma de amenizar la espera y presumir un poquillo que hacer una foto de tu tarjeta de embarque y subirla a tus redes sociales. ¡Mala idea! Además de la información que se puede ver a simple vista, dentro del código de barras que utilizan se incluyen además varios datos personales más.

Además de tu nombre y tu apellido, el código de barras incluye el número de referencia de la reserva, el origen y el destino del vuelo, el número del vuelo, la fecha, el asiento, en qué posición has reservado el vuelo (por ejemplo, si has sido el pasajero número 40 en hacerlo) y la aerolínea. ¿Y cómo sacar toda esta información? Sencillo: tomando una imagen de la tarjeta de embarque o tan sólo de su código de barras y analizarla con un lector online como éste.

El resultado será un código similar al siguiente, aunque los hay todavía más complejos y con más información:

M1EWING/SHAUN MR 1A11A1 BNESYDQF 551 107Y26J 37 00

Cada uno de los fragmentos de este código tiene su significado, como explican en esta página de referencia. Interpretando la información puedes acceder a todos los datos que comentábamos antes: Shaun Ewing es el nombre del pasajero, 1A11A1 el número de su reserva, BNESYDQF los aeropuertos y la aerolínea, 551 el número de su vuelo, etc.

Haciendo una rápida búsqueda en Instagram me encuentro con una imagen de una tarjeta de embarque. Su autor ha tapado los nombres y otros detalles, pero ha dejado a la vista el código de barras. El lector de códigos no solo me dice el nombre de su propietario sino también todos los datos de su viaje y el número del Programa de Pasajero Frecuente (Frecuent Flyer) que le corresponde a dicha persona.

Pero ¿no aparece toda esa información en la tarjeta de embarque impresa? La mayoría sí (como el nombre, vuelo, etc.), pero existen algunos usuarios que comparten imágenes de sus tarjetas de embarque editadas parcialmente para eliminar sus datos personales (como el ejemplo que acabamos de ver) sin darse cuenta de que, mientras se vea el código de barras, cualquiera puede acceder a ellos. Además, otros datos como el número del Programa de Pasajero Frecuente no son públicos, como veremos a continuación.

¿Qué pueden hacer con estos datos?

Precisamente la voz de alarma la daba el sitio Krebs on Security, después de que uno de sus lectores procesara la imagen de una tarjeta de embarque publicada en las redes sociales por un amigo. Con el nombre y el número de referencia (Record key) pudo identificarse en la página de Lufthansa y acceder a su cuenta, donde no solo salía su vuelo actual sino todos los que había reservado anteriormente y también permitía modificar o cancelar vuelos que todavía no habían tenido lugar.

Teniendo acceso a dicha sección, en la web oficial de Lufthansa también pudo obtener su número de teléfono y, con el número de su perfil en el Programa de Pasajero Frecuente y un poco de ingeniería social (tan sólo le preguntaron el número de soltera de su madre, algo que el amigo curioso averiguó, de nuevo, en sus redes sociales), pudo cambiar la contraseña de acceso.

Según explican en la web, las aerolíneas suelen tratar los números de identificación del Programa de Pasajero Frecuente como un dato de alto secreto que, de hecho, si aparecen impresos siempre eliminan los últimos caracteres para evitar que nadie tenga acceso a él. Sin embargo, todo este secretismo no sirve de nada si alguien publica una foto del código de barras o si deja olvidada su tarjeta de embarque en cualquier rincón. Así que ya sabes: cuidado con lo que haces con tu tarjeta de embarque.

Vía | Krebs on Security
Imagen | debaird