В секи път, когато човек резервира самолетен билет, зад привидно обикновената транзакция се създава сложен цифров запис. Той съдържа далеч повече информация от името на пътника и номера на полета -
- маршрут,
- начин на плащане,
- контактни данни,
- багаж,
- история на резервацията и
- редица други технически параметри.
Този запис е известен като Passenger Name Record (PNR) и през последните две десетилетия се превърна в един от най-важните инструменти за противодействие на тероризма и тежката трансгранична престъпност.
След терористичните атаки в САЩ през 2001 г., а впоследствие и след нападенията в Мадрид, Лондон, Париж и Брюксел, държавите започнаха да изграждат системи за обмен на PNR информация между авиокомпаниите и правоохранителните органи. В Европейския съюз тази практика беше уеднаквена с Директива (ЕС) 2016/681, която въвежда общи правила за обработката, обмена и защитата на PNR данните.
Наред с въпросите за сигурността обаче неизменно възниква и друг: възможно ли е тези записи да бъдат манипулирани? Ако да - при какви условия, от кого и какви следи би оставила подобна намеса? Официалните европейски документи не дават основание да се твърди, че PNR системите могат лесно да бъдат променяни незабелязано. Напротив - архитектурата им е изградена така, че всяка обработка на информацията да бъде проследима и подложена на контрол. Това не означава, че риск не съществува. Както всяка информационна система, и тази не е напълно имунизирана срещу вътрешни злоупотреби, кибератаки или човешки грешки. Разликата е, че подобни сценарии подлежат на строги технически и правни механизми за откриване и разследване.
Системата PNR: Как ДАНС следи пътниците и кога достъпът до данни се превръща в престъпление
- Какво представляват PNR данните?
Според член 3 от Директива (ЕС) 2016/681 PNR представлява електронен запис на изискванията за пътуване на всеки пътник, необходим за обработването и управлението на резервацията от авиокомпанията или туристическия агент.
Важно е да се подчертае, че PNR не се създава от полицията, службите за сигурност или държавните институции. Записът възниква още в момента, когато бъде направена резервация чрез авиокомпания, туристическа агенция или глобална резервационна система.
Типичният PNR може да съдържа:
- име на пътника;
- маршрут и история на полетите;
- номер на резервацията;
- дата на закупуване на билета;
- информация за багажа;
- телефон и електронна поща;
- начин на плащане;
- избрано място в самолета;
- информация за съпътстващи пътници;
- специални услуги, заявени по време на пътуването.
Европейското законодателство изрично забранява обработката на чувствителни категории лични данни, като информация за етнически произход, религия, политически убеждения, здравословно състояние или сексуална ориентация. Ако подобна информация случайно бъде включена в PNR записа, тя трябва незабавно да бъде изтрита.
- Какво казва европейското законодателство?
Основният нормативен акт, който урежда използването на PNR данните в Европейския съюз, е Директива (ЕС) 2016/681 на Европейския парламент и на Съвета. Документът определя, че данните могат да бъдат обработвани единствено за предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежка престъпност, а не за общо наблюдение на пътниците.
В съображение 16 от директивата законодателят обяснява защо е избран т.нар. „push“ модел за обмен на информация. В текста се посочва:
„The ‘push’ method is considered to offer a higher level of data protection and should be mandatory for all air carriers.“ („Методът „push“ се счита, че осигурява по-високо ниво на защита на данните и следва да бъде задължителен за всички въздушни превозвачи.“)
Практически това означава, че държавните органи не извличат самостоятелно информация от резервационните системи на авиокомпаниите. Вместо това самият превозвач изпраща копие на необходимите PNR данни до националното Passenger Information Unit (PIU), като по този начин запазва контрол върху процеса на предаване.
- Всяка обработка трябва да оставя следа
Една от най-важните гаранции срещу неправомерна намеса е задължението за водене на подробни одитни записи.
Член 13, параграф 6 от Директива (ЕС) 2016/681 задължава държавите членки да гарантират, че PIU водят регистри най-малко за следните операции:
- събиране;
- преглед;
- предоставяне;
- изтриване на PNR данните.
Освен това в регистрите трябва да бъдат записани целта на достъпа, датата, часът, самоличността на служителя и получателят на информацията, когато това е възможно. Според директивата тези записи се използват „единствено за целите на проверката, самоконтрола, гарантирането на целостта и сигурността на данните или за одит“.
Именно този механизъм е една от основните причини експертите да приемат, че незабелязана промяна в държавната PNR система би била изключително трудна за прикриване.
Стоянов: Кой разреши да се ползва системата PNR за пътуванията на Пеевски?
- Всички промени по резервацията също се съхраняват
Интересен детайл, който често остава извън общественото внимание, се съдържа в Приложение I към директивата.
Сред 19-те категории PNR данни, които могат да бъдат предавани на PIU, последната е:
„All historical changes to the PNR“ - „Всички исторически промени по PNR записа“.
Това означава, че историята на редакциите по една резервация сама по себе си представлява част от информацията, която може да бъде предоставена на компетентните органи. Това не означава, че всяка техническа операция се пази безсрочно, но показва, че системата е проектирана така, че да отчита развитието на записа във времето.
- Има ли доказателства за успешно манипулиране?
След преглед на публично достъпните документи на Европейската комисия, Европейския парламент и действащата европейска нормативна рамка не могат да бъдат открити официални доказателства, че национална PNR система в държава членка е била успешно манипулирана така, че промени в записите да останат незабелязани.
Това не означава, че подобен сценарий е технически невъзможен. Както всяка информационна система, и PNR инфраструктурата може да бъде обект на вътрешна злоупотреба, човешка грешка или кибератака. Разликата е, че европейската правна рамка изисква подобни действия да бъдат проследими чрез логове, одитни записи, контрол на достъпа и независим надзор от националните органи по защита на личните данни.
Тази комбинация от технически и правни механизми не елиминира риска напълно, но значително затруднява възможността за незабелязана промяна на PNR данни и създава условия всяко неправомерно действие да бъде предмет на последваща проверка. Това става ясно от информация, публикувана в официалния портал EUR-Lex – Достъп до правото на Европейския съюз.
На 21 юни 2022 г. Съдът на ЕС постанови решение по дело C-817/19 (Ligue des droits humains). С него съдът потвърди валидността на директивата, но подчерта, че тя трябва да се прилага в съответствие с Хартата на основните права на Европейския съюз и при строго спазване на принципа на пропорционалност.
Според съда обработването на PNR данни е допустимо само доколкото е „строго необходимо“ за предотвратяването, разкриването, разследването и наказателното преследване на терористични престъпления и тежка престъпност. Националните органи не могат да използват системата като инструмент за масово и безразборно наблюдение на всички пътници.
ЕС въвежда единен регистър на пътниците в самолетите
- Как се създава и предава информацията?
Създаването на PNR започва изцяло в информационните системи на авиокомпанията. Данните се събират в резервационната система (Reservation System), а след регистрацията за полета част от тях се синхронизират със системата за контрол на заминаването (Departure Control System).
Едва след това започва взаимодействието с държавните органи.
Съгласно европейската директива всяка държава членка трябва да има специализирано Passenger Information Unit (PIU) - национално звено, което получава PNR информацията, анализира я и при необходимост я предоставя на компетентните правоохранителни органи.
Особено важно е, че Европейският съюз изисква използването на т.нар. "push" метод.
Това означава, че държавните институции не влизат директно в резервационните системи на авиокомпанията.
Вместо това самата авиокомпания изпраща копие от необходимите данни към националното PIU по предварително определени защитени комуникационни протоколи.
Европейската комисия определя именно този модел като по-сигурен от т.нар. "pull" достъп, при който държавният орган би имал възможност сам да извлича информация от системите на превозвача. Причината е проста - авиокомпанията запазва контрол върху това какви данни изпраща и кога го прави.
По правило предаването става два пъти:
- между 24 и 48 часа преди излитането;
- непосредствено след приключване на качването на пътниците и затваряне на полета.
Съветът на ЕС прие допълнителни правила за проверка на пътниците
- Какво казват експертите?
В ефира на NOVA NEWS експерти коментираха възможни ли са манипулации при пътуване със самолети. Председателят на Асоциацията на българската авиационна индустрия Тодор Иванджиков обясни по какъв начин става проверката при пътуване по въздух. "Когато се качваме на редовни полети, влизаме в една система, която няма кой да манипулира. Има компании, при които преди полета срещу дадена сума можеш да смениш името, но когато минеш check-in, се получава един списък, в който пише кои са пътници и колко са те”, обясни той.
"От февруари се въведоха нови правила за киберсигурност. Не вярвам конкретната авиокомпания да променя имена в системата", допълни още Иванджиков.
В допълнение бившият заместник-ректор на Академията на МВР доц. Милен Иванов уточни, че всяка една информационна система може да бъде манипулирана. "Има хора с универсален достъп до тези системи и те могат да правят промени, въпреки че се случва рядко, но след всички манипулации остават следи", каза доц. Иванов.
Той подчерта, че PNR е глобална система за мониторинг на всички, които използват самолети и кораби. "Системата е разработена след атентатите през 2001 г. и в нея са включени всички специални служби на държавно ниво. Тя е почти невъзможно да бъде манипулирана. Абсурдно е някой да го прави заради България", изтъкна експертът.
- Кой има достъп до PNR системите?
Един от най-разпространените митове е, че голям брой институции могат свободно да разглеждат или редактират PNR информация. Официалната европейска нормативна рамка показва съвсем различна картина.
Директива (ЕС) 2016/681 задължава всяка държава членка да създаде специализирано Passenger Information Unit (PIU) - национално звено, което е единствената структура, получаваща PNR данните директно от авиокомпаниите. Именно PIU извършва първоначалната обработка, анализира информацията чрез предварително определени критерии и при наличие на съвпадение може да предостави резултатите на компетентните правоохранителни органи.
Това означава, че полицейските служители, разследващите органи или прокуратурата по правило не разполагат с неограничен директен достъп до базите данни на авиокомпаниите. Достъпът преминава през ясно регламентирани процедури, а всяка държава определя със закон кои органи могат да получават информация от националното PIU.
Същевременно авиокомпаниите също поддържат собствените си PNR записи в своите резервационни системи, тъй като те са необходими за оперативното управление на полетите. Това обаче не означава, че всеки служител може свободно да редактира информацията. Съвременните резервационни системи работят с многослойни права за достъп, основани на служебните функции.
- Как се защитават PNR данните?
Официалните документи на Европейската комисия, ICAO и EASA не описват детайлно архитектурата на всяка национална система по съображения за сигурност. Въпреки това те определят минималните изисквания за защитата на информацията.
Сред основните механизми са:
- удостоверяване на самоличността на потребителите;
- контрол на достъпа според служебните правомощия;
- криптирани канали за обмен между авиокомпанията и PIU;
- регистрация на всички действия в системата;
- периодични одити;
- независим надзор от органите за защита на личните данни.
Особено значение има принципът на проследимостта. Директивата изисква всяка обработка на PNR информация да бъде документирана така, че впоследствие да може да бъде проверено:
- кой е получил достъп;
- кога е извършен достъпът;
- какви действия са извършени;
- на кого са предоставени данните.
Тези регистри представляват т.нар. audit logs (одитни записи). Те позволяват последващо разследване при съмнение за неправомерен достъп или злоупотреба.
Освен това всяка държава членка е длъжна да назначи длъжностно лице по защита на данните (Data Protection Officer), което упражнява независим контрол върху обработката на PNR информацията.
Хакери могат да откраднат данните ви от самолетен билет
- Възможно ли е технически PNR запис да бъде променен?
Това е въпросът, около който често възникват спекулации.
От техническа гледна точка практически всяка информационна система позволява определени данни да бъдат редактирани от лица с необходимите административни права. Това важи и за авиационните резервационни системи. Например преди полета могат да бъдат променяни номерът на мястото, багажът, контактните данни или самата резервация, когато това е необходимо за обслужването на клиента.
Това обаче е коренно различно от незабелязана манипулация на вече обменени PNR записи.
След като авиокомпанията изпрати информацията към националното PIU чрез предвидения в европейското законодателство „push“ механизъм, данните вече съществуват в отделна държавна система. Всяко последващо изменение би оставило следи в регистрационните файлове, а несъответствията между оригиналния запис при превозвача и копието в PIU могат да бъдат установени при проверка.
Никъде в официалните документи на Европейската комисия, Европол или ICAO няма данни, че PNR записите могат да бъдат тайно редактирани без възможност това да бъде открито.
Следователно:
- технически редакция от оправомощен администратор е възможна в рамките на съответната система;
- незабележима промяна без следи противоречи на изискванията за одит, контрол на достъпа и проследимост;
- няма публично достъпни официални доказателства, че подобен сценарий е реализиран успешно в европейските PNR системи.
- Какви следи оставя всяка промяна?
Съвременните информационни системи в гражданската авиация използват няколко слоя на отчетност.
На първо място са регистрационните файлове (logs), които автоматично записват всяко действие на потребителите.
На второ място са одитните записи, използвани при вътрешни проверки и външен контрол.
Третият слой включва системите за управление на достъпа, които ограничават възможностите на отделните служители според заеманата длъжност.
При обмена между институциите се използват защитени комуникационни протоколи и криптиране на данните при предаването им, което намалява риска от прихващане или подмяна по време на трансфера, сочи информация на European Union Aviation Safety Agency.
Важно е да се подчертае, че официалните документи не твърдят, че тези механизми правят системата абсолютно непробиваема. Те са създадени, за да намалят риска и да гарантират възможност за разследване при евентуален инцидент.
- Какви са реалните рискове?
Европол и Агенцията на Европейския съюз за киберсигурност (ENISA) многократно предупреждават, че критичната транспортна инфраструктура остава потенциална цел на кибератаки.
Основните рискове са три.
- Първият е вътрешна злоупотреба - служител с предоставени права може да използва достъпа си неправомерно. Именно затова европейското законодателство изисква стриктно регистриране на всички действия и периодични проверки.
- Вторият риск са кибератаките срещу информационната инфраструктура. Подобни атаки могат да засегнат авиокомпании или доставчици на информационни услуги. Това обаче не означава автоматично компрометиране или промяна на PNR данните.
- Третият риск е човешката грешка - неправилно въведена информация, административна неточност или погрешна обработка. Именно затова системите поддържат история на измененията и процедури за корекция.
- Има ли официално документирани случаи?
Публично известни са случаи на киберинциденти срещу авиокомпании, при които са били компрометирани клиентски данни.
Сред най-известните е пробивът в информационните системи на British Airways през 2018 г., довел до изтичане на лични и платежни данни на клиенти. Британският Information Commissioner's Office (ICO) санкционира компанията след проведено разследване.
Важно е обаче да се направи разграничение.
Официалните документи по случая не установяват компрометиране или манипулиране на европейските държавни PNR системи. Инцидентът засяга информационната инфраструктура на авиокомпанията, а не националните Passenger Information Units.
Към момента няма публично достъпни официални данни от Европейската комисия, Европол или държавите членки, които да показват успешно и прикрито манипулиране на PNR записи в националните PIU системи.
Какво показват официалните данни?
Прегледът на европейското законодателство и документите на компетентните институции води до няколко ясни извода.
PNR системите не са изградени като свободно достъпни бази данни, а като силно регулирана инфраструктура с множество технически и правни механизми за защита. Достъпът до информацията е ограничен, действията на потребителите подлежат на регистрация, а обработката се контролира както от вътрешни механизми, така и от независими органи за защита на личните данни.
От техническа гледна точка промени в информационните системи могат да бъдат извършвани единствено от лица с необходимите права. Това обаче не означава, че подобни действия могат да останат незабелязани. Европейската нормативна рамка изисква проследимост, одит и документиране на обработката именно за да бъдат откривани евентуални злоупотреби.
Най-важният извод е и най-предпазливият: няма публично достъпни официални доказателства, че европейските PNR системи са били успешно манипулирани по начин, който да компрометира тяхната цялост или да остане неразкрит. Това не означава, че риск не съществува - нито една информационна система не е напълно защитена. Означава единствено, че към настоящия момент официалните институции не са публикували данни, които да подкрепят подобно твърдение.
Именно затова европейската рамка поставя акцент върху превенцията, прозрачността и отчетността. Целта е не само да се предотвратяват терористични актове и тежки престъпления чрез използването на PNR данните, но и да се гарантира, че обработването им се извършва при високо ниво на защита на личните данни и под постоянен институционален контрол.
