Los datos de las tarjetas de los usuarios afectados por el ciberataque a Air Europa "estarían expuestos en la dark web"

El ciberataque que han sufrido los usuarios de Air Europa deja en el aire la seguridad de las compras online y las dudas para introducir datos bancarios en Internet. Rafael López, responsable de preventa de Perception Point, explica qué hay detrás de este incidente y cómo ha podido producirse, a pesar de que se desconoce con exactitud todo los ocurrido.

El ataque informático que ha afectado a unos 100.000 usuarios de la aerolínea permitió el acceso al número de las tarjetas de crédito, fecha de caducidad y el código CVV. Tal y como han advertido desde la Organización de Consumidores y Usuarios (OCU), ninguno de ellos ha sufrido un uso fraudulento de los datos bancarios pero recomiendan cancelar cualquier tarjeta que hayan empleado para realizar la compra de billetes. Los afectados se hacen así la siguiente pregunta: ¿Cómo han podido acceder a sus datos?

Así ha podido producirse el ciberataque

"Los datos estarían expuestos en la dark web a disposición de cualquiera que quiera comprarlos", comenta Rafael López. Esta plataforma contiene los robos de información de los usuarios que han sido atacados con malware.

"Los cibercriminales lo que hacen es vender luego estos datos de tarjetas de crédito en la dark web para luego poder hacer transacciones no autorizadas por los clientes", explica López. Sin embargo, los mismos ciberdelincuentes no son los que hacen las transacciones. "Lo que hacen es vender a otros cibercriminales estos datos para que ellos puedan hacer compras online", dice.

La mayoría de los expertos consideran que se trata de un fallo de seguridad muy grave. Air Europa habría incumplido la normativa para empresas que tramita cobros online, en la que está prohibido el almacenamiento de los códigos de seguridad CVV. Los ciberdelincuentes pueden hacer con estas claves cualquier cargo, que el dueño de la tarjeta podrá comprobar.

Es la segunda vez que la misma compañía sufre un ciberataque. En 2018 tuvieron un incidente parecido, se produjo una vulneración masiva en sus sistemas de seguridad informáticos. Un grupo de ciberatacantes tuvo acceso a los datos personales y bancarios de casi medio millón de usuarios, hecho por el que recibieron una multa de 600.000 euros por parte de la Agencia Española de Protección de Datos.

"No han sido suficientes las medidas de seguridad", considera el experto. Los datos financieros deben almacenarse "de una manera muy específica". "Deben estar encriptados, es decir, no accesibles a cualquier persona", explica.

Rafael López valora la posibilidad de que se encontrasen en un texto plano, archivos muy simples carentes de información que pueden generar formatos. "Ha incurrido en algún tipo de negligencia a la hora de guardar este tipo de información", asegura.

El ciberdelincuente ha podido tener por un lado el nombre del usuario o del cliente y por otro el número de tarjeta. En concreto, esos códigos del CVV con los que resulta muy sencillo suplantar a la persona.

"Además, no se pueden almacenar determinados datos de tarjeta de crédito directamente por cumplimiento normativo".

¿Cómo saber si eres uno de los afectados?

Los clientes afectados han recibido un mail con los consejos a seguir para minimizar cualquier incidencia posible. "Ante el riesgo de suplantación de tarjetas y fraude que este incidente podría suponer, y en aras a proteger sus intereses, le recomendamos que siga los siguientes pasos", dice el correo.

La aerolínea aconseja identificar de la tarjeta con la que se ha efectuado la compra a través de la página web y contactar con la entidad bancaria correspondiente. Desde la OCU recomiendan cancelar esa tarjeta y evitar de esta forma "el posible uso fraudulento de su información".

También, instan a los clientes a no dar datos personales a través de mensajes, teléfono o email, incluso si se están identificando como su entidad bancaria. Desde el año 2021, la ciberdelincuencia a empresas ha aumentado en un 59%. Una de cada 40 empresas ha sufrido un ciberataque en el último año, según datos del proveedor de soluciones de ciberseguridad Check Point.

Dos compañías inmobiliarias amenazan con marcharse de España