Fuente: El País

Air Europa ha sufrido un ataque informático en la madrugada de este martes que ha permitido a los delincuentes acceder a los datos de las tarjetas de crédito de los clientes, según han denunciado varios usuarios en X (la anterior Twitter) a través de mensajes enviados por la compañía. La aerolínea ha confirmado oficialmente el hackeo, que se produjo debido de una brecha de seguridad en sus sistemas de pago, ya ha pedido a varios clientes que den orden a su banco para que anulen las tarjetas de crédito registradas. Aunque la aerolínea no facilitado información sobre los afectados, se estima que la base de datos registrada es de 100.000 usuarios.

Varios usuarios de Air Europa han recibido un correo de la empresa avisando de que la aerolínea ha sufrido un ciberataque que ha supuesto el robo de la información bancaria de algunos clientes. En concreto, los datos sustraídos son el número de varias tarjetas, sus fechas de caducidad y el código de seguridad CVV. No obstante, la compañía ha señalado que el hackeo a los sistemas ha sido controlado pocas horas después de producirse y que no tenían constancia de que ninguno de sus clientes haya sido víctima de un fraude por el uso ilícito de sus tarjetas de crédito.

La compañía ha informado que “los datos extraídos han sido exclusivamente los asociados a las propias tarjetas en sí y no a los clientes” y que “en ningún caso los ciberdelincuentes han accedido a otras bases de datos de Air Europa ni han extraído otro tipo de información personal de los clientes”.

Pese a este doble mensaje de tranquilidad, la compañía ha remitido un correo electrónico a varios afectados en el que se les recomienda que adopten una serie de medidas. Entre ellas, Air Europa recomienda a sus clientes que se pongan en contacto con su entidad bancaria para cancelar la tarjeta de crédito que hayan utilizado para pagos en la aerolínea.

“Ante el riesgo de suplantación de tarjetas y fraude que este incidente podría suponer, y en aras a proteger sus intereses, le recomendamos que siga los siguientes pasos: identifique la tarjeta usada para efectuar pago/s en la página web de Air Europa; contacte con su entidad bancaria; solicite la anulación/cancelación/sustitución de esa tarjeta para poder evitar el posible uso fraudulento de su información; no facilite información personal, su pin, nombre o cualquier otro dato personal a través de teléfono, mensaje o email, incluso cuando se identifiquen como su entidad bancaria; no pinche enlaces que le avisen de operaciones fraudulentas. Póngase en contacto directo con su entidad bancaria por medios constatables, y recopile cualquier prueba de posible uso no autorizado de su tarjeta y denúncielo ante las Fuerzas y Cuerpos de Seguridad del Estado”, señala la misiva electrónica.

La aerolínea, que ha comunicado que sus sistemas funcionan con total normalidad, ha pedido disculpas a todos sus clientes afectados y se ha puesto a disposición de los usuarios que necesiten cualquier tipo de asesoramiento. “Nuestro objetivo es evitar que situaciones similares se produzcan en el futuro, así como minimizar las posibles molestias que todo ello pueda causar”, finaliza el correo electrónico. La aerolínea ha habilitado un correo electrónico de contacto para solventar cualquier duda relacionada con esta emergencia: delegadopd@aireuropa.com .

Un fallo muy grave

Los expertos apunta a una fallo de seguridad muy grave porque la compañía habria incumplido la normativa muy estricta (llamada PCI-DSS) para empresas que realizan cobros online, por la cual se prohibe almacenar los códigos de seguridad CVV, puesto que una vez que están en poder de los ciberdelincuentes estos pueden hacer cualquier cargo, hasta que el dueño de la tarjeta se da cuenta. Al parecer, el sistema de seguridad implantado en AIr Europa es de Telefónicsa Tec, la plataforma de ciberseguridad de la operadora.

No es la primera vez que la aerolínea de Globalia sufre uno de estos incidentes. En 2018 ya registró una vulneración masiva en sus sistemas de seguridad informáticos por la que un grupo de ciberdelincuentes accedió a los datos personales y bancarios de casi medio millón de sus clientes. Un ataque que, además de comprometer el negocio de la compañía, provocó que en 2021 recibiera una multa de 600.000 euros de la Agencia Española de Protección de Datos (AEPD).