O que o código de barras do seu cartão de embarque revela sobre você - e por que a gente lê só a rota

Tem um clássico das redes sociais que resiste a qualquer era: a foto no aeroporto com o cartão de embarque na mão, rumo às férias. O problema é que aquele retângulo de papel não mostra só o destino - o código de barras impresso nele conta, pra quem souber ler, bem mais sobre você do que a legenda da foto.

Quer a versão curta? Cole o seu próprio cartão no leitor de código de barras de cartão de embarque - ele decodifica no seu navegador, lista cada campo e não envia nada. Depois siga a leitura pra entender o que cada campo entrega.

O que cabe num código de barras

O formato é padronizado mundialmente pela IATA, a associação internacional das companhias aéreas, num padrão chamado BCBP (Bar Coded Boarding Pass, definido na Resolução 792). É um código bidimensional - PDF417 no papel; QR, Aztec ou Datamatrix no celular - que carrega uma mensagem estruturada de dados: nome do passageiro, localizador da reserva, rota, companhia, assento e, quando existe, o número do programa de fidelidade.

Nada disso é segredo de Estado - é literalmente o que o leitor do portão precisa saber. A questão é que qualquer pessoa com um decodificador de código de barras (existem vários, gratuitos, na web) lê a mesma coisa. Se você prefere ver em vez de acreditar na nossa palavra, nós fizemos um: cole o seu próprio cartão no decodificador de cartão de embarque e ele lista cada campo, no seu navegador, sem enviar nada.

O experimento que virou aula

Em 2015, o jornalista de segurança Brian Krebs publicou um caso que virou referência: um leitor pegou a foto de um cartão de embarque que um amigo tinha postado no Facebook, decodificou o código de barras e saiu do outro lado com o nome, o número de fidelidade e o localizador da reserva. Com esses dados no site da companhia, dava pra ver os voos futuros do amigo, trocar o assento - e até cancelar voos. Combinando com informações públicas de rede social (o nome de solteira da mãe, por exemplo), dava até pra derrubar o PIN da conta de milhas.

A conclusão do Krebs segue valendo dez anos depois, até porque o padrão continua o mesmo: cartão de embarque é documento, não adereço de foto. Não poste a imagem, não deixe o canhoto no bolso do assento, e jogue fora como quem joga fora um extrato bancário.

”Tá, mas o seu app escaneia exatamente esse código”

Justo. O Stamp Hunt Brasil usa a câmera pra escanear o código de barras do cartão de embarque - é assim que uma viagem vira carimbo Raro ou Lendário na coleção. A diferença está no que acontece depois da leitura: o app reconhece origem e destino - a rota, que é o que prova em qual estado você esteve - e é isso que interessa. Sua coleção e suas evidências ficam no aparelho; não existe servidor nosso recebendo seus dados, nem conta pra criar, nem feed público. No Stamp Hunt internacional a lógica é a mesma, com os cartões importados do Apple Wallet ou os voos sincronizados do Flighty e do Tripsy.

É uma regra simples que a gente aplica em todos os apps da casa: ler o mínimo necessário e não encostar num servidor que a gente controle. O GalleryCheckup olha sua fototeca pra achar duplicatas sem que nenhuma foto saia do iPhone; o Receitorio guarda suas receitas sem rede social; o TigelaBoa acompanha a alimentação do seu pet sem conta; o Artisan View cuida da produção artesanal sem analytics. Sem gracinha, como a gente gosta de dizer.

As fronteiras estão cada vez mais digitais - o carimbo de tinta já está saindo de cena na Europa - e os registros da sua viagem vão existir de qualquer jeito. A escolha que sobra é onde eles moram: num servidor de terceiros ou no seu bolso.

---

Fontes

• What’s in a Boarding Pass Barcode? A Lot - Krebs on Security (6 de outubro de 2015)
• Bar Coded Boarding Pass (BCBP) Implementation Guide - IATA (PDF)
• Common Use Standards - IATA
• Comportamento do escaneamento e dos níveis de prova conforme descrito nas páginas do Stamp Hunt Brasil e do Stamp Hunt.