Signalé pour la première fois par le Point quotidien (s’ouvre dans un nouvel onglet)un activiste et hacker qui s’appelle maia incendie criminel (s’ouvre dans un nouvel onglet) a découvert une version de la liste d’interdiction de vol du gouvernement des États-Unis datée de 2019 sur un serveur non sécurisé appartenant à la compagnie aérienne régionale américaine, CommuteAir (anciennement CommutAir). L’aperçu de ce registre du gouvernement américain bien connu, mais non accessible au public, est le dernier d’une cavalcade d’atteintes majeures à la sécurité des entreprises ces derniers mois.
Crimew, un hacker et chercheur indépendant, a découvert la liste via une variante de Shodan, un moteur de recherche axé sur la cybersécurité qui permet aux utilisateurs de trouver des serveurs non sécurisés sur le net. Crimew a trouvé un tel serveur appartenant à CommuteAir, un partenaire de United Airlines spécialisé dans les vols à courte distance. En plus de la liste elle-même, nommée de manière absurde NoFly.csv, crimew a découvert des dossiers détaillés des employés pour CommuteAir, ainsi que des informations d’identification pour lui permettre d’accéder aux “API navlblue pour le ravitaillement, l’annulation et la mise à jour des vols, l’échange des membres d’équipage, etc. .”
Crimew n’a pas publié la liste d’interdiction de vol dans son intégralité, mais l’a rendue disponible sur demande pour les journalistes. Crimew l’a décrit à Kotaku (s’ouvre dans un nouvel onglet) comme étant plus de 1,56 million d’entrées, contenant des noms, des dates de naissance et des pseudonymes pour les personnes ciblées. Crimew a déclaré au Daily Dot que “c’est juste fou pour moi de voir à quel point cette base de données de dépistage du terrorisme est grande et pourtant il y a encore des tendances très claires vers des noms à consonance presque exclusivement arabe et russe à travers le million d’entrées”.
CommuteAir a confirmé que la base de données était authentique et datée de 2019, tandis que la TSA a déclaré au Daily Dot qu’elle était “au courant d’un incident de cybersécurité potentiel avec CommuteAir” et qu’elle “enquêtait en coordination avec [its] partenaires fédéraux.
Bien que le gouvernement américain ait maintenu une petite liste d’individus avec un drapeau “pas de transport” avant 2001, la liste d’interdiction de vol a explosé en taille et en portée après les attentats du 11 septembre. Les critiques soutiennent que la liste est un dépassement opaque de l’État de sécurité qui a affecté de manière disproportionnée les musulmans. La liste comprend certains citoyens américains.
En 2016, La sénatrice Diane Feinstein (s’ouvre dans un nouvel onglet) révélé que la liste couvrait 81 000 personnes, alors qu’en 2005, le TSA admis (s’ouvre dans un nouvel onglet) qu’il avait reçu 30 000 plaintes de personnes qui avaient été ajoutées à la liste par erreur. On ne sait pas combien des 1,5 million d’entrées sur NoFly.csv sont des alias, représentant des fautes d’orthographe courantes ou d’autres formes d’entrées répétées pour le même individu, tandis que le Daily Dot mentionne la possibilité que cette fuite puisse refléter le plus large et moins restrictif Base de données de dépistage du terrorisme par opposition à la liste d’interdiction de vol plus étroite et plus sévère.
Ce n’est pas le premier acte d’hacktivisme de crimew. Elle a déjà divulgué des données d’Intel, de Nissan et de la société de sécurité basée sur le cloud Verkada. Crimew a fait perquisitionner son domicile par la police suisse en raison d’accusations portées par le gouvernement américain pour ces infractions, mais elle est protégée contre l’extradition vers les États-Unis par la constitution suisse. Crimew maintient un site Web personnel (s’ouvre dans un nouvel onglet) et actif Twitter (s’ouvre dans un nouvel onglet) Compte.