Unos 53.000 registros de reservas de Cathay Pacific quedan expuestos; HKCERT pide a la ciudadanía extremar la precaución

Cathay Pacific anunció hoy un incidente de seguridad de datos personales que involucra al proveedor externo de servicios Amadeus IT Group, S.A., en el que unas 53.000 reservas relacionadas con Cathay Pacific fueron accedidas por personas no autorizadas. El Centro de Coordinación de Incidentes de Seguridad Informática de Hong Kong (HKCERT) expresó su preocupación al respecto y advirtió a la ciudadanía que extreme la precaución para evitar que los estafadores utilicen los datos de vuelos para hacerse pasar por el servicio de atención al cliente.

Detalles del incidente

Según el comunicado de Cathay Pacific, la compañía recibió la notificación de Amadeus el 28 de octubre y obtuvo información adicional el 29 de octubre. El incidente se produjo cuando personas no autorizadas utilizaron credenciales de inicio de sesión de cuentas del sistema para acceder sin autorización a los datos de reservas de viajes almacenados en los sistemas de Amadeus, incluidos los registros de reserva de Cathay Pacific.

De acuerdo con la información proporcionada por Amadeus, el acceso no autorizado se produjo entre agosto de 2023 y septiembre de 2026 y afectó a unas 53.000 reservas relacionadas con Cathay Pacific. Los datos afectados incluyen principalmente el código de referencia de la reserva, el nombre del pasajero y la información del vuelo; en algunos casos también podrían incluir el correo electrónico y el teléfono de contacto, los datos de documentos de viaje y el número de programa de viajero frecuente.

Precaución ante el riesgo de fraude

HKCERT señala que los datos de reservas aéreas tienen un alto valor contextual: una vez que los estafadores disponen de nombres reales de pasajeros, números de vuelo y otros datos, aumenta la credibilidad de suplantar al servicio de atención al cliente de la aerolínea, lo que dificulta que la ciudadanía determine si la identidad de su interlocutor es auténtica. Recientemente ya han aparecido estafadores que utilizan datos filtrados de pasajeros aéreos para cometer fraudes, e incluso hay víctimas que han perdido hasta 1,2 millones de dólares de Hong Kong.

HKCERT hace un llamamiento a la ciudadanía que haya reservado recientemente vuelos relacionados para que extreme la precaución, y ofrece las siguientes recomendaciones:

• No confíe en la identidad de alguien solo porque conozca sus datos personales o de vuelo.
• Verifique la información de forma independiente a través de canales oficiales y no utilice los enlaces ni los métodos de contacto que le proporcione la otra parte.
• No proporcione datos sensibles ni realice transferencias siguiendo sus instrucciones, por ejemplo si le piden contraseñas o códigos de un solo uso (OTP).

Si sospecha que sus datos personales o sus cuentas han sido utilizados indebidamente, cambie lo antes posible la contraseña de las cuentas afectadas y póngase en contacto con su banco, la aerolínea o la entidad correspondiente.

Las organizaciones deben reforzar la gestión de la seguridad

HKCERT indica que este incidente vuelve a poner de manifiesto la importancia de que las organizaciones gestionen de forma continua los riesgos de ciberseguridad de la cadena de suministro cuando utilizan servicios de terceros y tratan datos de clientes. Las organizaciones deben revisar periódicamente los datos personales que recopilan y conservan, y mantener únicamente los datos necesarios para evitar riesgos innecesarios de filtración.

Además, las organizaciones deben saber qué proveedores de servicios pueden acceder a los datos de los clientes y aplicar el principio de privilegio mínimo, revisando y revocando periódicamente los permisos que ya no sean necesarios para reducir el riesgo.

HKCERT recuerda una vez más a la ciudadanía que, aunque la otra parte pueda mencionar con exactitud sus datos personales, de vuelo o de compras, eso no significa que su identidad sea real. Si recibe solicitudes de reembolso, indemnización o transferencia, detenga primero cualquier operación y verifique su veracidad a través de canales oficiales.