Når en ferie planlægges, spredes personoplysninger ofte ud over et bredt netværk af flyselskaber, hoteller, biludlejningsfirmaer og bookingplatforme. Et dataudtræk, der dækker perioden fra januar 2021 til august 2026, kaster nu lys over konsekvenserne af de mange digitale fodspor, som turister efterlader sig.
Undersøgelsen er foretaget af NordVPN og Saily på baggrund af data fra NordLayer Intelligence. Her har man analyseret 494 databrud i rejsebranchen og fundet kompromitterede oplysninger på i alt 119,4 millioner rejsende. Lækagerne indeholder ofte detaljerede og permanente identitetsoplysninger.
I de analyserede databrud fremgik fulde navne i 92 % af tilfældene, 87 % indeholdt telefonnumre, og 78 % inkluderede adresser. Derudover var fødselsdatoer inkluderet i 55 % af sagerne, mens adgangskoder optrådte i 46 %. Nationalitet og oplysninger om national legitimation, såsom CPR-numre, var at finde i henholdsvis 19 % og 11 % af lækagerne.
Rejsebranchen er blevet et tæt forbundet økosystem, og hver enkelt virksomhed, du deler oplysninger med, udgør endnu en potentiel sikkerhedsrisiko.
Problemet er ikke kun, hvor mange oplysninger om rejsende der regelmæssigt lækkes, det handler også om, hvad disse oplysninger indeholder. En adgangskode kan hurtigt ændres efter et databrud, hvorimod oplysninger såsom dit navn, din fødselsdato eller andre oplysninger om din identitet som regel er umulige at ændre, fordi du anvender dem hele livet.
Marijus Briedis, CTO hos NordVPN
Store og små aktører rammes forskelligt
Dataene viser en markant forskel på, hvordan og hvor bruddene sker. Bookingplatforme, udbydere af ture og online-rejsebureauer stod for over halvdelen, mere præcist 55,5 %, af de analyserede databrud. Hos disse aktører ramte lækagerne i gennemsnit omkring 107.000 oplysninger per hændelse.
Flyselskaberne registrerede til sammenligning kun 21 databrud i den femårige periode. Til gengæld var konsekvenserne per brud markant større, idet hvert databrud i gennemsnit kompromitterede cirka 1,2 millioner oplysninger.
Samlet set stammede 27,7 % af de kompromitterede oplysninger fra biludlejning, krydstogter og jernbanetransport. Booking og ture stod for 24,6 %, hoteller og resorts for 23,7 %, og flyselskaberne udgjorde de resterende 21,2 %.
“En virksomheds størrelse giver ikke rejsende det fulde billede af risikoen,” udtaler Briedis. “En mindre udbyder kan være et mere oplagt mål for ondsindede aktører, hvorimod et enkelt databrud hos et stort flyselskab kan udsætte oplysninger om millioner af mennesker for risiko. Ud fra en rejsendes synspunkt er det vigtigt at huske, at vedkommendes datasikkerhed på forskellige måder afhænger af hver eneste virksomhed i kæden.”
Data overlever selve rejsen
Et andet centralt sikkerhedsaspekt er, at rejsebranchen ofte lagrer kundeoplysninger længe efter, at ferien er afviklet, eller selve kontoen er glemt af brugeren.
En rejsende kan benytte en tjeneste midlertidigt, men tjenestens forhold til vedkommendes data er måske ikke så midlertidigt.
Du booker muligvis en aktivitet én gang og vender aldrig tilbage til den pågældende hjemmeside, hvorimod de oplysninger, du har delt, muligvis forbliver i udbyderens system i årevis. Derfor en den type rejsetjenester, du kun benytter én gang, nemme at glemme – men de er ikke nødvendigvis uden betydning for din privatlivsbeskyttelse på lang sigt.
Vykintas Maknickas, administrerende direktør for Saily
Opfordringen lyder derfor, at man begrænser antallet af rejsekonti til det strengt nødvendige, benytter flerfaktorgodkendelse og sletter gemte betalingsoplysninger, når de ikke længere er i brug.
Når du er kommet hjem, bør du gennemgå gamle konti, der blev brugt til bookinger, ture, udlejning og andre rejserelaterede formål. Slet de konti, du ikke længere bruger, og bed tjenesteudbyderen om at fjerne de personoplysninger, de har på dig. Det kan være med til at reducere mængden af oplysninger, der ligger tilbage hos tjenester, du måske aldrig kommer til at bruge igen.
ykintas Maknickas, administrerende direktør for Saily