British Airways dijo que aproximadamente 380.000 pagos con
tarjeta se vieron afectados tras una violación de seguridad en su sitio web y
la aplicación móvil de la compañía en agosto.
Según la aerolínea la violación comprometió los datos
personales y financieros, incluidos el nombre, la dirección y los datos de la
tarjeta bancaria como el código CVC, de los usuarios que hicieron reservas en
su sitio web (ba.com) y la aplicación de la aerolínea.
Según British Airways, que es una de las aerolíneas más
grandes del Reino Unido, no se robaron los datos de ningún pasaporte o viaje.
«Ningún cliente de British Airways perderá su dinero
como resultado de este ciberataque criminal en su sitio web, ba.com, y la
aplicación móvil de la aerolínea», dijo un portavoz de British Airways a
Threatpost por correo electrónico.
«Entendemos que este incidente causará preocupación y
desconfianza», dijo el portavoz. «Nos hemos puesto en contacto con
todos los clientes afectados para pedirles perdón, y les continuaremos atendiendo
en los próximos días. British Airways no se pondrá en contacto con ningún
cliente que solicite detalles de la tarjeta de pago; cualquier solicitud de
este tipo deberá comunicarse a la policía y a las autoridades pertinentes
«.
La brecha ocurrió entre el 21 de agosto y el 5 de
septiembre, según la aerolínea. Desde entonces, se ha resuelto y el sitio web
ba.com funciona normalmente, según un aviso en el sitio web de la compañía.
British Airways no respondió más preguntas sobre la causa específica de la
violación.
La aerolínea le dijo a Threatpost que garantiza que se
reembolsarán las pérdidas financieras sufridas por los clientes debido al robo
de estos datos de British Airways y recomienda que los clientes se pongan en
contacto con su banco o proveedor de tarjetas.
British Airways continúa investigando con la policía y los
especialistas en ciberseguridad y ha denunciado el robo de datos al
Comisionado de Información. La aerolínea también se está comunicando con los
clientes afectados.
No es la primera vez que la compañía se enfrenta a una
crisis de seguridad: en 2015 , British Airways suspendió las cuentas de viajero
frecuente de los usuarios luego de una «actividad no autorizada» que
algunos informes llamaron violación de datos.
British Airways es solo la más reciente en sufrir un
incidente de seguridad; en los últimos años se han producido una serie de
campañas de phishing y ataques de malware para robar credenciales de los
clientes de las aerolíneas. El año pasado, los investigadores descubrieron una
ola de campañas de phishing basadas en correo electrónico dirigidas a
consumidores de aerolíneas con mensajes que contienen sistemas capaces de infectar
con malware o enlaces a sitios web de aerolíneas falsificados que engañan a las
víctimas para que entreguen las credenciales.
En agosto, Air Canada dijo que 20.000 usuarios de
aplicaciones móviles habían tenido expuestasu información de pasaporte y les
pidió a los usuarios de su aplicación Mobile + que reiniciaran sus cuentas tras
detectar un «comportamiento de inicio de sesión inusual» entre el 22
y 24 de agosto.
Y, a principios de abril, Delta dijo que «un pequeño
subconjunto» de clientes se vieron afectados por una violación de datos
vinculada al malware plantado en un servicio de terceros. El proveedor del
servicio dijo que los sistemas fueron atacados en un ataque de malware, pero se
negó a detallar la naturaleza del incidente.
Sin embargo los expertos en seguridad todavía no están seguros de sí
en alguno de estos problemas podría estar la raíz del incidente de British
Airways.
«Las aplicaciones web son el talón de Aquiles de las
empresas y organizaciones modernas», dijo. «Los legisladores hacen
sus vidas aún más complicadas, como por ejemplo con el RGDP, muchas organizaciones
tuvieron que renunciar temporalmente a su ciberseguridad práctica y concentrar
todos sus esfuerzos en el cumplimiento en papel. Las nuevas regulaciones de
seguridad cibernética pueden hacer más daño que beneficios para la sociedad si
se imponen o implementan incorrectamente».
