O que o código de barras do seu cartão de embarque revela sobre você — e por que a gente lê só a rota
Aquela foto de aeroporto com o cartão de embarque na mão entrega mais do que a viagem. Veja o que cabe num código de barras — e o que um app honesto deveria fazer com ele.
Tem um clássico das redes sociais que resiste a qualquer era: a foto no aeroporto com o cartão de embarque na mão, rumo às férias. O problema é que aquele retângulo de papel não mostra só o destino — o código de barras impresso nele conta, pra quem souber ler, bem mais sobre você do que a legenda da foto.
O que cabe num código de barras
O formato é padronizado mundialmente pela IATA, a associação internacional das companhias aéreas, num padrão chamado BCBP (Bar Coded Boarding Pass, definido na Resolução 792). É um código bidimensional — PDF417 no papel; QR, Aztec ou Datamatrix no celular — que carrega uma mensagem estruturada de dados: nome do passageiro, localizador da reserva, rota, companhia, assento e, quando existe, o número do programa de fidelidade.
Nada disso é segredo de Estado — é literalmente o que o leitor do portão precisa saber. A questão é que qualquer pessoa com um decodificador de código de barras (existem vários, gratuitos, na web) lê a mesma coisa.
O experimento que virou aula
Em 2015, o jornalista de segurança Brian Krebs publicou um caso que virou referência: um leitor pegou a foto de um cartão de embarque que um amigo tinha postado no Facebook, decodificou o código de barras e saiu do outro lado com o nome, o número de fidelidade e o localizador da reserva. Com esses dados no site da companhia, dava pra ver os voos futuros do amigo, trocar o assento — e até cancelar voos. Combinando com informações públicas de rede social (o nome de solteira da mãe, por exemplo), dava até pra derrubar o PIN da conta de milhas.
A conclusão do Krebs segue valendo dez anos depois, até porque o padrão continua o mesmo: cartão de embarque é documento, não adereço de foto. Não poste a imagem, não deixe o canhoto no bolso do assento, e jogue fora como quem joga fora um extrato bancário.
”Tá, mas o seu app escaneia exatamente esse código”
Justo. O Stamp Hunt Brasil usa a câmera pra escanear o código de barras do cartão de embarque — é assim que uma viagem vira carimbo Raro ou Lendário na coleção. A diferença está no que acontece depois da leitura: o app reconhece origem e destino — a rota, que é o que prova em qual estado você esteve — e é isso que interessa. Sua coleção e suas evidências ficam no aparelho; não existe servidor nosso recebendo seus dados, nem conta pra criar, nem feed público. No Stamp Hunt internacional a lógica é a mesma, com os cartões importados do Apple Wallet ou os voos sincronizados do Flighty e do Tripsy.
É uma regra simples que a gente aplica em todos os apps da casa: ler o mínimo necessário e não encostar num servidor que a gente controle. O GalleryCheckup olha sua fototeca pra achar duplicatas sem que nenhuma foto saia do iPhone; o Receitorio guarda suas receitas sem rede social; o TigelaBoa acompanha a alimentação do seu pet sem conta; o Artisan View cuida da produção artesanal sem analytics. Sem gracinha, como a gente gosta de dizer.
As fronteiras estão cada vez mais digitais — o carimbo de tinta já está saindo de cena na Europa — e os registros da sua viagem vão existir de qualquer jeito. A escolha que sobra é onde eles moram: num servidor de terceiros ou no seu bolso.
Fontes
- What’s in a Boarding Pass Barcode? A Lot — Krebs on Security (6 de outubro de 2015)
- Bar Coded Boarding Pass (BCBP) Implementation Guide — IATA (PDF)
- Common Use Standards — IATA
- Comportamento do escaneamento e dos níveis de prova conforme descrito nas páginas do Stamp Hunt Brasil e do Stamp Hunt.