09 de diciembre de 2020

Los códigos de barras y Bidi/QR de tus compras contienen información personal

El blog de la Comunidad Movistar recoge unos consejos del equipo de ciberseguridad de Telefónica España sobre la información oculta que hay en los billetes de avión, entradas a conciertos y paquetes de mensajería.

En las entradas de conciertos, cines, teatros… se incluye un código de barras o Bidi/QR que se escanea para permitir el acceso al recinto. Compartir una foto de la entrada en redes sociales antes de asistir al evento da pie a su duplicado y reimpresión al escanear el código, con lo que un tercero podría aprovecharse llegando antes al evento o revendiéndola y dejando al propietario sin la posibilidad de asistir.

Las tarjetas de embarque o ticket de los vuelos incluyen códigos y muchos datos sensibles, ya que por ejemplo se sabe que tal persona estará fuera de su casa en esos días, lo que puede ser aprovechado por ladrones. No basta con tachar o difuminar los textos y números, cualquiera podría escanear el código.

¿Cómo podemos proteger nuestros datos?

Los códigos de barra, Bidi o QR contienen información codificada que puede ser fácilmente decodificada al escanearlos, hay muchas apps que lo permiten, algo muy útil para uso personal pero peligroso si caen los códigos en malas manos. Por ejemplo, introducir la foto de un billete de avión y al escanear el código nos da este resultado:

M1HERNANDEZ/JOSE MR 1B11B2 MADBCNIB 315 107Y14C 40 00

M1:Código de formato M1
HERNANDEZ/JOSE MR: Nombre del pasajero
1B11B2: La referencia de la reserva del billete.
MADBCNIB: Vuelo de Madrid a Barcelona con la aerolínea Iberia.
315: Numero de vuelo
107: La fecha en Juliano: abril 2017.
Y: Código de cabina, clase turista
14C: Asiento
40: Numero de secuencia, en este caso, la persona 40 en hacer el registro
00: Tamaño del campo del mensaje de datos específicos de la aerolínea (pone 00 ya que no hay ninguno).

Si tenemos el apellido y el número de localizador se puede acceder a información adicional como el número de teléfono, vuelos futuros reservados, ver los acompañantes, la cuenta de viajero frecuente, etc. Un tercero podría cambiar los asientos o cancelar un vuelo.

Para evitar esto es importante no compartir estas fotos, o si se hace eliminar los datos sensibles y los códigos que aparezcan (dejándolos por ejemplo en blanco), o compartir sólo una parte del ticket que no tenga información privada. También es importante romper las etiquetas y cartas en varios trozos y tirarlas en papeleras diferentes, o tachar todos los datos sensibles para hacerlos ilegibles (por el anverso de la hoja también). Lo mismo hay que hacer con las cajas de paquetes que recibimos tras comprar en una tienda online.