Más de 100.000 clientes de Air Europa se vieron afectados por el ciberataque que sufrió esta aerolínea. La regulación para transacciones en línea PCI-DSS impide almacenar los datos de las tarjetas bancarias de los clientes, pero esta información sensible se filtró. ¿Cómo ocurrió? A continuación, lo analizamos.
Este ciberataque a la aerolínea europea se conoció porque varios usuarios de Air Europa informaron haber recibido un correo de la empresa avisando de un posible ciberataque y la posibilidad de un robo de la información bancaria de algunos clientes, por lo que se les recomendaba a los usuarios contactarse con su banco y cancelar las tarjetas, ya que los datos sustraídos fueron el número de varias tarjetas, sus fechas de caducidad y el código de seguridad CVV.
Según información del diario El País de España, en este ataque se detectó una importante brecha de seguridad en la empresa, que implica una violación de la normativa PCI-DSS para empresas de pago en línea. Esta brecha permitió el almacenamiento de los códigos de seguridad CVV de las tarjetas bancarias, lo que supone un gran riesgo, ya que con todos los datos de las tarjetas los ciberdelincuentes pueden aprovecharlos para realizar compras sin límite. Al parecer, el sistema de seguridad de Air Europa, proporcionado por un proveedor externo, permitió el acceso a los datos de las tarjetas bancarias de los usuarios.
Expertos en ciberseguridad señalan que todo apunta a que el ataque fue una modalidad de "Web skimming", ya que desde 2020, Air Europa había conseguido la certificación PCI-DSS, y lo que ocurrió fue una filtración en los servidores de la empresa para modificar el código fuente de la página en la que piden introducir los datos de la tarjeta bancaria. Cuando el cliente los envía, esa página hace la conexión con la pasarela de pago y todo parece normal, pero además se transmiten los datos al servidor de los atacantes y se van recopilando en tiempo real a medida que la gente va comprando los pasajes de avión.
En este ataque se vuelve a evidenciar la importancia del concepto de soberanía de datos para las empresas de todos los sectores, que implica que, aunque se apoyen en proveedores de servicios informáticos para la gestión de sus sistemas y datos, deben contar con medidas internas y robustas de monitoreo, control y protección de sus datos y los de sus clientes, para que en caso de un ciberataque a la compañía o a su proveedor informático estos no queden totalmente expuestos.
Con el propósito de garantizar la soberanía de datos real de las organizaciones, Intexus cuenta con diferentes soluciones que garantizan esta soberanía en una estrategia sencilla y efectiva de protección en 3 pasos: descubrir, proteger y controlar el acceso a sus datos en donde sea que se encuentren, en la nube o centros de datos buscando que las organizaciones estén mejor preparadas para prevenir, enfrentar y recuperarse de un ciberataque.
Somos el único canal en Colombia que ha obtenido el certificado “Thales Level 1 Support Partner” para las soluciones de protección de datos de Thales.
Conozca más de nuestras soluciones para garantizar el control y protección de sus datos aquí.