28 yaşındaki Nandan Kumar, bagajının başka bir yolcununkiyle karıştığını fark ettikten sonra, Hintli havayolu şirketi IndiGo’yu arayarak yardım istedi. Ancak IndiGo, bu konuda yardım etmeyi reddettikten sonra Kumar, havayolunun internet sitesi hackleyerek diğer yolcu hakkında bilgi alabildiğini belirtti.
Yazılım mühendisi olan adam, Twitter’dan havayolu şirketini de etiketleyerek yaptığı paylaşımda, havaalanının bagaj teslim bölümüne vardığında bir yolcunun çantasını alıp gittiğini kaydetti. Kumar, her iki çantanın da birbirine tıpatıp benzediği için hatayı ancak eve döndükten sonra fark ettiğini söyledi. Bagaj etiketi aracılığıyla diğer kişinin yolcu adı ve rezervasyon kodunu tespit edebildiğini söyleyen adam, yolcu hakkında bilgi istemek için havayolunu aradığında mahremiyet ve veri koruma kuralları gerekçe göstererilerek isteği reddedildi.
Hey @IndiGo6E ,
Want to hear a story? And at the end of it I will tell you hole (technical vulnerability )in your system? #dev #bug #bugbounty 😝😝 1/n— Nandan kumar (@_sirius93_) March 28, 2022
Hintli genç, “Telefonuma çıkan temsilci, bu kişiye ulaşabildikleri zaman beni geri arayacaklarına dair bana güvence verdi ama telefonuma çağrı gelmedi” dedi.
Kumar, profesyonel bir bilgisayar korsanı olmadığını ancak bagajını geri almak için bir şeyler yapması gerektiğini söyledi. Havayolunun internet sitesinde yaptığı işlemleri anlatan Kumar, “Bütün başarısız denemelerden sonra yazılımcı içgüdüm devreye girdi ve klavyemdeki F12 düğmesine basarak IndiGo web sitesinde geliştirici konsolunu açtım” dedi.
Kumar, “Bulduğum şey yolcunun telefon numarası oldu. Dürüst olmak gerekirse, sadece bir telefon numarası veya e-posta aradım. Temelde çantamı almak amacıyla iletişime geçmek için kullanabileceğim herhangi bir şey olabilirdi bu” diye ekledi.
Hindistanlı yazılımcı, “Rezervasyon kodu ve yolcu soyadına erişmek çok kolay. İnsanlar biniş kartlarını paylaşıyor. Herkes çantalarınızı görebilir, fotoğraf çekebilir ve daha sonra bunları kullanıp bilgilerinizi alabilir” ifadelerini kullandı.
Kumar, sistem kayıtlarından aldığı telefon numarasıyla diğer yolcuyu aradı ve iki kişi bagajlarını değiştirmek için buluştu. Kumar’ın bagajına ulaşma girişimleri başarıyla sonuçlandı.
‘Hiçbir noktada IndiGo web sitesinin güvenliğinin ihlal edilmediğini’ aktaran IndiGo, “Bu vakanın ayrıntılı olarak incelendiğini ve IT süreçlerimizin tamamen sağlam olduğunu belirtmek isteriz” şeklinde açıklama yaptı.