Hotellgästers id låg öppet

Ett digitalt incheckningssystem för hotell i Japan lämnade pass, körkort och selfie-baserade verifieringsbilder från över en miljon personer öppet tillgängliga på nätet. Uppgifterna säkrades först efter att en säkerhetsforskare larmat TechCrunch, som i sin tur kontaktade bolaget bakom systemet.

Systemet heter Tabiq och drivs av den Japanbaserade teknikstartupen Reqrea. Det används enligt bolagets egen information av flera hotell och bygger på ansiktsigenkänning och dokumentskanning för att effektivisera incheckning. Den exponerade informationen fanns i en molnlagringsyta hos Amazon som kunde nås utan lösenord av den som kände till lagringsnamnet.

Säkerhetsforskaren Anurag Sen upptäckte läckan och bad TechCrunch hjälpa till att nå företaget. Efter kontakten låstes lagringen ned. Reqrea har bekräftat att bolaget nu utreder omfattningen med stöd av externa rådgivare, men säger att det ännu inte vet hur lagringsytan blev offentlig.

Händelsen är särskilt känslig eftersom materialet består av identitetshandlingar och biometriskt närliggande verifieringsbilder. Sådana uppgifter är svåra att ersätta när de väl har spridits och kan användas vid identitetsbedrägerier, falska kontoregistreringar eller andra former av missbruk.

Läckan följer ett återkommande mönster i cybersäkerheten: stora incidenter orsakas ofta inte av avancerade intrång, utan av felkonfigurationer, bristande rutiner och otillräcklig kontroll av tredjepartssystem. Amazon har under flera år lagt till varningar för kunder som gör lagring offentlig, men ansvaret för rätt inställningar ligger fortfarande hos den som hanterar datan.

För hotellbranschen och andra verksamheter som kräver digital identitetskontroll blir slutsatsen tydlig. Ju fler företag som samlar in pass, körkort och ansiktsbilder, desto större blir skadan när grundläggande skydd brister. Reqrea uppger att berörda personer ska informeras när utredningen är klar.