Qué revela sobre ti el código de barras de tu tarjeta de embarque - y por qué solo leemos la ruta

Hay un clásico de las redes que sobrevive a todas las épocas: la foto de aeropuerto con la tarjeta de embarque en la mano, rumbo a las vacaciones. El problema es que ese rectangulito no solo enseña tu destino: el código de barras impreso en él le cuenta a quien sepa leerlo bastante más sobre ti que el pie de foto.

¿Quieres la versión corta? Pega tu propia tarjeta en el lector de código de barras de tarjeta de embarque: lo descifra en tu navegador, lista cada campo y no sube nada. Después sigue leyendo para saber qué expone cada uno.

Qué cabe dentro de un código de barras

El formato está estandarizado en todo el mundo por IATA, la asociación internacional de aerolíneas, bajo un estándar llamado BCBP (Bar Coded Boarding Pass, definido en la Resolución 792). Es un código bidimensional - PDF417 en papel; QR, Aztec o Datamatrix en el móvil - que lleva un mensaje de datos estructurado: nombre del pasajero, localizador, ruta, compañía, asiento y, cuando existe, tu número de viajero frecuente.

Nada de esto es un secreto de Estado: es literalmente lo que el lector de la puerta de embarque necesita saber. La pega es que cualquiera con un decodificador de códigos de barras (hay muchos, gratis, en la web) lee exactamente lo mismo. Si prefieres verlo en vez de creernos, hicimos uno: pega tu propia tarjeta en el decodificador de código de barras de tarjeta de embarque y te lista cada campo, en tu navegador, sin subir nada.

El experimento que se convirtió en lección

En 2015, el periodista de seguridad Brian Krebs publicó un caso que se volvió referencia: un lector cogió la foto de una tarjeta de embarque que un amigo había publicado en Facebook, decodificó el código de barras y salió con el nombre, el número de viajero frecuente y el localizador de su amigo. Con eso, en la web de la aerolínea, podía ver los vuelos futuros de su amigo, cambiarle el asiento e incluso cancelar vuelos. Combinándolo con información pública de redes sociales (el apellido de soltera de la madre, por ejemplo), podía hasta restablecer el PIN de la cuenta de millas.

La conclusión de Krebs aguanta una década después, sobre todo porque el estándar sigue siendo el mismo: una tarjeta de embarque es un documento, no un atrezo para fotos. No publiques la foto, no dejes el resguardo en el bolsillo del asiento, y tíralo como tirarías un extracto bancario.

”Vale, pero vuestra app escanea justo ese código”

Es justo. Stamp Hunt usa la cámara para escanear el código de barras de la tarjeta de embarque: así un viaje se convierte en un sello Rare o Legendary en la colección. La diferencia está en lo que pasa después de la lectura: la app reconoce el origen y el destino - la ruta, que es lo que demuestra en qué país estuviste - y esa es la parte que importa. Tu colección y tus pruebas se quedan en tu dispositivo; no hay ningún servidor nuestro recibiendo tus datos, ninguna cuenta que crear, ningún feed público. También puedes importar tarjetas desde Apple Wallet o sincronizar vuelos desde Flighty y Tripsy.

Es una regla simple que aplicamos a todas las apps de la casa: leer lo mínimo necesario y no tocar nunca un servidor que controlemos nosotros. GalleryCheckup revisa tu fototeca buscando duplicados sin que una sola foto salga de tu iPhone; Receitorio guarda tus recetas sin red social; TigelaBoa lleva las comidas de tu mascota sin cuenta; Artisan View gestiona la producción artesanal sin analítica.

Las fronteras se digitalizan cada vez más - el sello de tinta ya está de salida en Europa - y los registros de tus viajes van a existir igualmente. La única elección que queda es dónde viven: en el servidor de otro, o en tu bolsillo.

---

Fuentes

• What’s in a Boarding Pass Barcode? A Lot - Krebs on Security (6 de octubre de 2015)
• Bar Coded Boarding Pass (BCBP) Implementation Guide - IATA (PDF)
• Common Use Standards - IATA
• Comportamiento del escaneo y niveles de prueba según la página principal de Stamp Hunt.