
> * 原文地址：[Post a boarding pass on Facebook, get your account stolen](https://www.michalspacek.com/post-a-boarding-pass-on-facebook-get-your-account-stolen)
> * 原文作者：[Michal Špaček](https://www.michalspacek.com/)
> * 译文出自：[掘金翻译计划](https://github.com/xitu/gold-miner)
> * 本文永久链接：[https://github.com/xitu/gold-miner/blob/master/TODO/post-a-boarding-pass-on-facebook-get-your-account-stolen.md](https://github.com/xitu/gold-miner/blob/master/TODO/post-a-boarding-pass-on-facebook-get-your-account-stolen.md)
> * 译者：[lampui](https://github.com/lampui)
> * 校对者：[Tina92](https://github.com/Tina92) [zhangqippp](https://github.com/zhangqippp)

# 在 Facebook 发一张登机牌，你就有可能被盗号了

假期正在火热地进行中，当你想要晒晒自己去了哪儿的时候，留心自己发上 Facebook 或 Instagram 的信息。登机牌（或其他有条码的票据）自己留着（或者用碎纸机处理掉）。

## 一趟前往香港的旅行

我认识 [Petr Mára](http://www.petrmara.com/) 好几年了，他是一个很友好的人，同时他也是一位演讲者、训练者、视频主播及 IOS & macOS 的发烧友。他还很爱去旅行，在 2016 年 5 月，他就带着她妻子一起去了趟香港庆祝她的生日，但 Petr 没有说他们会去多久，当然，我最后还是知道了！在 Petr 还没飞的时候，他发了一条动态，[这条动态](https://www.instagram.com/p/BF06blXmUXF/)上面有一个带着订单号 YJVFKG 和一些条码的登机牌，就是那一刻，我知道了他要在香港呆多久。一般而言，你最好别公开任何印有订单号、二维码或条码的登机牌、票据。

![英国航空公司登机牌](https://www.michalspacek.cz/i/images/blog/boardingpass/ba-pass.jpg)

Petr Mára 发的这条动态

这趟航班从伦敦起飞，大概要飞 12 个小时，所以他们**只待 5 天**？只要上[英国航空公司官网](https://www.britishairways.com/travel/managebooking/public/en_cz)，并在右边的输入框输入他的订单号，然后你就可以找到 Petr 在香港的起降机场了。提交了订单号之后我才发现，除了其他事情之外，Petr 已经把所需的数据都填好了。也不奇怪，他人都在香港了。然后下面有一个 _View or change details_ 的红色按钮。你应该懂的，你看到一个红色按钮，你就要点它，所以我点了。

![British Airways login form](https://www.michalspacek.cz/i/images/blog/boardingpass/ba-login.png)

航空公司登录页面

![Petr's advance information is complete](https://www.michalspacek.cz/i/images/blog/boardingpass/ba-completed.png)

所需数据已完整

航空公司想认证修改信息的是~~我~~ Petr，我可以输入他的护照号码或生日，但我（目前）不知道。在 Petr 的 Facebook 个人主页有他的生日，这在捷克共和国的 [Business Register](https://or.justice.cz/) 或 [Trade Register](http://www.rzp.cz/)也是公开的。每个人的生日其实都算是公开的秘密啦！在交易商和自由职业者的增值税税收 id 上也可以找到一个人的生日，所以生日不算什么秘密。

![Petr Mára's details](https://www.michalspacek.cz/i/images/blog/boardingpass/ba-details.png)

Petr 的详细信息

最终，我找到了他的护照号码！我甚至可以修改它！酷！我可以令 Pter 和 他妻子在香港庆祝生日得*更久一点*。只需输入一个国际通缉犯或是其他什么的护照号码。

我没有修改任何信息，并把这件事告诉了 Petr。我向他道了歉，因为我试着猜测他妻子的生日而令他在接下来的 24 小时以内不能访问他的预订页面。当然啦，之后我谷歌到了他妻子的生日。非常感谢 Petr 知道这件事后还是对我这么友好！5 个月后，从他[下一条发有登机牌的朋友圈](https://www.instagram.com/p/BMOpEFWBV-Y/)就知道，Petr 已经上了一堂课 — 订单号或条码都要打码。

## 更多 Facebook 和 Instagram 的照片

你能在 [Facebook](https://www.facebook.com/search/str/boarding%20pass/photos-keyword) 或 [Instagram](https://www.instagram.com/explore/tags/boardingpass/) 发现大量的登机牌照片。有些旅客试着聪明点，于是将他（她）们的名字或其他信息打码，然而一些条码却赤裸裸的，像下面这位[叫 Anna 的女士](https://archive.is/I7Ydp)。

![Boarding pass](https://www.michalspacek.cz/i/images/blog/boardingpass/anna-pass.jpg)

Instagram 中的随机条码

Anna 的全名叫 Anna Ferenčáková，在 2017 年 4 月，她从布拉格飞往塞尔维亚的首都 — 贝尔格莱德。你扫了那张照片上的条形码就能知道这些信息了！条码也可以在“遗落”于飞机上的登机牌或其他地方被找到。

![Barcode Scanner screenshot](https://www.michalspacek.cz/i/images/blog/boardingpass/anna-ferencakova.jpg)

扫描后的条码信息

随着越来越多的人使用“智能”设备，登机牌上的条码也可以在智能手表中被找到，下面是一个能在某人的 iWatch 上显示登机牌的所谓的 Aztec 二维码。这个二维码包含了跟传统纸质登机牌一样的（或类似的）信息，但这些信息在一个智能手表上，你就不需要打印你的登机牌，你要做的就是在过关的时候伸出手去扫一扫就行了，未来已来。

![Aztec code in a smart watch app on a hand](https://www.michalspacek.cz/i/images/blog/boardingpass/stephen-aztec.jpg)

智能手表上的 Aztec 二维码

这只手（和手表）是 Stephen Fenech 的，这张照片是拍在他从旧金山去往纽约的途中。我们又一次知道了这些信息，因为我们扫了 Aztec 二维码。我们可以通过阅读这篇[关于在"智能"手表上使用登机牌的陷井](http://www.techguide.com.au/blog/boarding-pass-experience-with-apple-watch-ran-off-the-runway/)，你的手腕 – 只是不适合一些扫描仪。在 Aztec 二维码还有一项重要的信息：一个代表该旅客是频繁飞行旅客的号码。Fenech 先生的这个号码是 `4708760`。

![Barcode Scanner screenshot](https://www.michalspacek.cz/i/images/blog/boardingpass/stephen-fenech.jpg)

扫描后的 Aztec 二维码

## 盗号

当在 Facebook 搜索登机牌的时候，我找到了一张有 Aztec 二维码的照片，这张照片是一个匿名男子拍的。他在某个圈子很有名，Twitter 上大概有 120,000 名的粉丝，在欧洲和美国也**有些背景**。这个二维码包含了他在联合航空公司的频繁飞行旅客号码。这间航空公司对待这些号码就像对待高级秘密访问口令。如果他们需要将这些号码打印到官方文件，他们只会显示最后 3 位数字，而其他位则会隐蔽，就像密码那样。在 Aztec 二维码中扫出来的频繁飞行旅客号码是完整的，当然，所以我在想利用它并黑进那个人的账户。为什么不黑呢，对吧，这应该不会**那么简单**。

所以我上了联合航空公司的官网，选择了[忘记密码](https://www.united.com/ual/en/us/account/security/passwordrecovery)，然后输入从 Aztec 二维码得来的名字和号码，接着用了几秒时间回答了 2 个安全问题：“你访问的第一个大城市？”和“你最喜爱的冬季运动？”，第一个问题的答案就是那个人的出生地，第二个问题的答案在高山国家的话肯定不是高尔夫。系统无误地将*我*认定为账号的*真实主人*，然后我可以给*他的账号*设置一个新密码。**更新 8 月 25 日**：这件事情发生在 2016 年 6 月，联合航空公司已经[加多了一项保护措施](https://twitter.com/benholley/status/900800557753016320)，他们会要求用户点击一条发送到用户邮箱里的修改密码链接，看来我现在能发送这样的电子邮件了。

![United Airlines password reset page](https://www.michalspacek.cz/i/images/blog/boardingpass/ua-password-reset.png)

创建新密码

我没有设置一个新密码，我并不想给任何人带来麻烦。我发了一条消息给那个人，就像我发了条消息给 Petr Mára 一样。他已经在 Facebook（但 Twitter 上还在）删除了那张含有 Aztec 二维码的照片。但他不信我可以劫持他的账户，他以为联合航空公司网站会发个新密码给他。

经过一番简单的解释之后，他懂了！ **Oh shit，你是对的！你可以把密码给改了！这简直就是疯了！**没错，确实是这样。就因为他上传了他的登机牌，我可以盗他的号！也许未来的买卖会有储蓄支付卡，又或者我可以令他在某个地方**卡死**。

## 别公开任何含有代码的图片

用户通常会不经意间公开一些在他（她）们眼里没有价值的数据，因为在第一眼看来，不太可能看出这些数据隐含着什么信息或者有什么用。*某些人*可能会觉得在*某些地方*有用。最坏情况下，还是有可能被盗号的。所以对你需要上传或公开的数据还是要留点心好。当你想上传到 Facebook 但又不确定照片或截图中有什么数据时，你可以用一个黑色的矩形或者任意其他你喜欢的形状（单单[模糊化可能还不够](https://dheera.net/projects/blur)）掩盖它，又或者干脆就别发布了。当创建安全认证问题的时候，你要学会*撒谎*。你可以用密码管理工具“记住”你的答案，就像记住你的密码那样，还有就是别把你的登机牌留在飞机上。

_这篇文章是基于我在 [CZ domain registry](https://www.nic.cz/) 的[演讲](https://www.michalspacek.com/talks/z-fb-fotky-az-k-unesenemu-uctu-it17)（在捷克）。_

### 推荐阅读

* [登机牌的条码上面有什么？很多](https://krebsonsecurity.com/2015/10/whats-in-a-boarding-pass-barcode-a-lot/)，作者 Brian Krebs.
* [Carmen Sandiego 在世界的哪里？](https://media.ccc.de/v/33c3-7964-where_in_the_world_is_carmen_sandiego)，一个由 Karsten Nohl 和 Nemanja Nikodijevic 进行的 33C3 演讲

### 更新

**8.25** 当重置联合航空公司密码时需要额外操作

### Michal Špaček

我构建 web 应用程序并且关心 web 应用程序安全，我乐于分享安全方面的开发。我的职责是教授 web 开发者如何构建安全且快速的 web 应用程序及其原因。


---

> [掘金翻译计划](https://github.com/xitu/gold-miner) 是一个翻译优质互联网技术文章的社区，文章来源为 [掘金](https://juejin.im) 上的英文分享文章。内容覆盖 [Android](https://github.com/xitu/gold-miner#android)、[iOS](https://github.com/xitu/gold-miner#ios)、[React](https://github.com/xitu/gold-miner#react)、[前端](https://github.com/xitu/gold-miner#前端)、[后端](https://github.com/xitu/gold-miner#后端)、[产品](https://github.com/xitu/gold-miner#产品)、[设计](https://github.com/xitu/gold-miner#设计) 等领域，想要查看更多优质译文请持续关注 [掘金翻译计划](https://github.com/xitu/gold-miner)、[官方微博](http://weibo.com/juejinfanyi)、[知乎专栏](https://zhuanlan.zhihu.com/juejinfanyi)。
