freaky.be

Een gastpostje door vriend Tim:

Vandaag kocht ik bij brusselsairlines.com een vliegtuigticket van Brussel naar Madrid voor de komende zomer. De prijs viel mee en er werden geen onvoorziene taksen meegeteld net voor betaling, all fine.. .

Nadat de betaling met credit card goedgekeurd was, werd ik naar een overzichtspagina doorgestuurd waarop de details van mijn vlucht staan: data en uren, boekingsnummer, e-ticket nummer, de namen van de passagiers, links om contact gegevens te veranderen, in te checken, enz….

Op deze overzichtspagina staat oa. volgende melding: “To return to this page in the future, you can either bookmark it, or browse to the Info & Services section and login using your booking number and your last name.”

Bookmark? Komt me enigzins vreemd over. Enerzijds verloopt de verbinding naar die referentie pagina over http (en dus gewoon leesbaar), en anderzijds staat mijn familienaam (of beter die van mijn vriendin, want de boeking is op haar naam) en het referentienummer in de url verwerkt.

Iets als dit:

http://www.brusselsairlines.be/en_be/info-and-services/booking-servicing/

manage-my-booking.aspx?lastname=Familienaam&booknr=ABC123&type=conf

Dat betekent dus dat iedereen die een familienaam en refentienummer heeft, overal en onbeveiligd de ticket info kan opvragen. Meer nog, zelfs de info kan wijzigen. Er staan op die pagina namelijk ook links om de flight schedule te wijzigen, contact info bij te werken, zelfs om de vlucht te annuleren.

We hebben dat meteen eens uitgeprobeerd. Ik heb de ‘bookmark’ link nl. doorgestuurd naar Stefan. Hij heeft die op zijn comp geopend met het volgende resultaat:

Alle info volledig zichtbaar. En klaar om bij te werken. In onderstaande beeld zie je dat stefan heel eenvoudig een telefoonnummer kon wijzigen.

Geen passwoord, geen identificatie. All clear!

Een klik op de ‘Home’ brengt Stefan achteraf naar zijn volledig gepersonaliseerde homepage, waar Justine Henin, godbetert een frequent sn flyster, hem vriendelijke toelacht.
Haar boekingspage? Dat zou dan iets als http://www.brusselsairlines.be/en_be/info-and-services/booking-servicing/
manage-my-booking.aspx?lastname=Henin&booknr=ABC123&type=conf
moeten zijn.
Nu nog het referentienummer en, I might end up sitting in your seat, Justine.