En bugg på United Airlines webbplats tillåter vem som helst att få tillgång till biljettinformation för resenärer som har begärt en återbetalning.
På flygbolagets hemsida kan användare kontrollera returstatusen för sin biljett genom att ange biljettnummer och efternamn. Men webbplatsen kontrollerade inte efternamnet, vilket gjorde det möjligt att få tillgång till återbetalningsinformation för andra resenärer genom att ändra biljettnumret.
IT-säkerhetsexperten Oliver Linow, som upptäckte buggen, berättade för TechCrunch att han kan se namnen på resenärerna, betalningsmedel och valutan som användes för att köpa biljetten, såväl som återbetalningsbeloppet. Mer än 100 000 sådana register med kunddata fanns tillgängliga.
United, precis som de flesta andra flygbolag, tillåter passagerare att komma åt och ändra sina kommande flygningar med hjälp av bara biljettnummer och efternamn på passageraren. Därmed kan vem som helst, med kännedom om biljettnumret, ändra informationen om någon annans flygning.
Linov rapporterade frågan till United den 6 juli. Det tog flygbolaget en månad att fixa. Men Linov fick inget ytterligare svar från flygbolaget.
Det är inte känt hur länge felet har funnits. United svarade inte på några mejl som frågade om flygbolaget hade rapporterat incidenten till dataskyddsmyndigheter.
Företag som bryter mot europeiska dataskyddsbestämmelser kan få böter på upp till 4 % av sin årsinkomst.
Under pandemin höll flygbolagen tillbaka miljarder dollar i återbetalningar mitt i en kraftig minskning av passagerarantalet. United fick senare en andel på 5 miljarder dollar av ett federalt hjälppaket på 25 miljarder dollar i USA som syftade till att hålla flygplanet flytande.
Tidigare denna månad sa United att de skulle säga upp cirka 20 % av sin personalstyrka – cirka 16 370 anställda.