Air Europa ha confirmado que los datos financieros de sus usuarios han sido interceptados durante un ciberataque al proceso de reserva de vuelos. La aerolínea informó a los afectados vía correo electrónico, advirtiéndoles de que la información de sus tarjetas de crédito ha sido robada y pidiéndoles que las cancelen inmediatamente.
Intercepción de datos en el proceso de pago
Según el comunicado, los atacantes han interceptado las operaciones de pago con las tarjetas, no el perfil completo de los clientes. Por ello, podría haber varias transacciones realizadas con la misma tarjeta afectada. La aerolínea destaca que «en ningún caso los ciberdelincuentes han accedido a otras bases de datos ni han extraído otro tipo de información personal».
Los datos interceptados incluyen el número de la tarjeta, el Código Valor de Verificación (CVV) y la fecha de caducidad. Estos son los datos necesarios para realizar pagos online, sin embargo, no se ha obtenido el nombre del titular. La compañía recomienda a los clientes solicitar la anulación o sustitución de su tarjeta para evitar posibles usos fraudulentos.
Posible acceso durante varias semanas
Según un correo enviado por la aerolínea, la última reserva con Air Europa fue el 21 de septiembre. Esto implica que los atacantes han tenido acceso a los datos de compra de los clientes durante varias semanas, lo cual podría incrementar significativamente el número de afectados.
No es habitual que una empresa pida a un gran número de clientes que cancelen sus tarjetas por un ciberataque. Muchos usuarios han preguntado en redes sociales si la comunicación era real. La aerolínea ha respondido que, si han recibido el correo, deben seguir las recomendaciones como «medidas necesarias para abordar [la incidencia] de manera adecuada».
El ataque se dirigió al entorno de pagos
Según el equipo de sistemas de la aerolínea, el ataque fue dirigido al entorno de pagos con el que se gestionan las compras a través de su web. La alteración del flujo en el proceso de pago permitió la extracción de datos de las tarjetas de crédito.
Air Europa asegura que ya ha encontrado y cerrado la brecha, por lo que no se estarían filtrando nuevos datos financieros. Además, afirma que la brecha no ha ido más allá: «Los datos extraídos han sido exclusivamente los asociados a las propias tarjetas en sí y no a los clientes».
Un tipo de ataque habitual
Este tipo de ataque es común. Un experto en ciberseguridad de Avast lo describe como una forma de fraude en línea que involucra la infiltración en sitios web de comercio electrónico para robar datos de tarjetas de crédito durante las compras.
Los atacantes insertan código malicioso en el sitio web, capturando y transmitiendo los datos a un servidor controlado por ellos. Este tipo de ataque ha afectado a múltiples empresas, incluyendo otras compañías aéreas como British Airways.
Los datos robados pueden ser utilizados para fraudes
Aparte de las compras no autorizadas, la información robada es valiosa para los ciberdelincuentes que pueden usarla en ataques de suplantación bancaria. En este momento está activa una campaña de ataques del falso agente, donde los cibercriminales se hacen pasar por trabajadores del banco para intentar engañar a los clientes y realizar traspasos fraudulentos.
Este tipo de datos también adquiere gran valor en el mercado negro, donde terceros pueden comprar el acceso a ellos y cruzarlo con otras bases de datos robadas para llevar a cabo ciberataques complejos.
Antecedentes de ataques similares
No es la primera vez que Air Europa sufre un ciberataque de esta gravedad. En 2018, medio millón de clientes vieron expuesta su información personal y datos financieros tras una brecha de seguridad en sus sistemas.
En aquel caso, la Agencia Española de Protección de Datos multó a Air Europa con 600.000 euros por no informar rápidamente a los afectados sobre la gravedad del ataque.