Filtración de datos de MalindoAir

Los tipos de datos confirmados en la filtración de MalindoAir incluyen campos que permiten crear un perfil del pasajero. Las direcciones de correo electrónico sirven como punto de entrada para mensajes de phishing dirigidos; el nombre, el tratamiento de cortesía y el género contribuyen a que estos mensajes parezcan más auténticos. Los números de teléfono pueden utilizarse para enviar falsas alertas de reservas por mensaje de texto, notificaciones fraudulentas de reembolso o avisos sobre billetes no reclamados. Las direcciones físicas y las fechas de nacimiento pueden facilitar que se adivinen las respuestas a las preguntas de verificación de identidad.

Los números de pasaporte y la información sobre la nacionalidad son los datos más sensibles de este registro. Es posible que estos campos, por sí solos, no basten para expedir un nuevo documento en ningún país, pero pueden utilizarse para suplantar identidades, realizar búsquedas fraudulentas de asistencia para viajes, llevar a cabo estafas de asesoría sobre visados e intentar recuperar cuentas. Los datos del programa de fidelización también ayudan a los estafadores a personalizar sus mensajes, ya que indican la relación del pasajero con la aerolínea y sus posibles hábitos de viaje. Dado que no se incluyen contraseñas entre los campos verificados, el riesgo se concentra más en el uso indebido de la información de identidad y de viaje que en la filtración de contraseñas.

El alcance verificado incluye 4 328 232 direcciones de correo electrónico únicas, la fecha de la filtración del 1 de marzo de 2019 y campos de datos personales asociados a los registros de clientes de la aerolínea. El registro contiene fechas de nacimiento, direcciones de correo electrónico, género, datos del programa de fidelización, nombres, nacionalidades, números de pasaporte, números de teléfono, direcciones físicas y tratamientos de cortesía. La fecha de incorporación registrada es el 14 de septiembre de 2023; no corresponde al momento en que ocurrió el incidente, sino a la fecha en que se verificó y se añadió a la lista de registros. Esta distinción es importante para evitar que los usuarios confundan el año 2023 u otra fecha de publicación con la fecha de la filtración.

En este registro, no se consideran campos verificados los datos de tarjetas de pago, cuentas bancarias, contraseñas, importes pagados por billetes ni datos de salud. En las declaraciones de la empresa se ha recalcado que no se almacena información de pago en los servidores. No obstante, la combinación de dirección física, número de teléfono, fecha de nacimiento y número de pasaporte puede suponer un riesgo en los procesos de verificación de identidad. Por tanto, la evaluación debe limitarse a los campos de datos verificados; las afirmaciones no confirmadas sobre datos financieros o contraseñas no deben presentarse al usuario como si fueran hechos.

El grupo de mayor riesgo está formado por personas que han viajado con Malindo Air, han creado una cuenta en el programa de fidelización o han utilizado el mismo correo electrónico y número de teléfono en otros servicios de viajes. Es más probable que los viajeros frecuentes utilicen sus datos de pasaporte, nacionalidad y contacto en múltiples gestiones, lo que los convierte en posibles objetivos de falsos cambios de reserva, asistencia fraudulenta para visados, notificaciones falsas sobre equipaje o pretextos de cancelación de vuelos. Las personas que viajan por trabajo también afrontan un riesgo adicional si su correo electrónico laboral está asociado a registros de viajes personales.

Los usuarios cuya fecha de nacimiento y dirección física estén incluidas en los datos de registro deben extremar la precaución durante los procesos de recuperación de cuentas y de verificación por parte de atención al cliente. Para quienes tengan un número de teléfono registrado, destaca el riesgo de recibir llamadas y mensajes de texto fraudulentos. Las personas cuyos datos de pasaporte estén incluidos deben ser más selectivas ante los mensajes relacionados con la renovación del pasaporte, las solicitudes de visado, los trámites fronterizos o los seguros de viaje. No debe darse por hecho que todos los mensajes proceden de una aerolínea real o de una institución oficial; antes de realizar cualquier acción, deben comprobarse por separado el nombre de dominio, la línea telefónica y el tipo de información solicitada.

Los usuarios que encuentren una coincidencia en su registro de MalindoAir deben identificar primero qué dirección de correo electrónico se vio afectada y revisar las cuentas de la aerolínea, del programa de fidelización, de la agencia de viajes y de correo electrónico asociadas a esa dirección. Aunque la contraseña no sea un campo de datos verificado, si la contraseña utilizada para una cuenta de Malindo Miles o de un servicio de viajes similar también se utiliza en otros servicios, debe sustituirse por una contraseña exclusiva. Debe activarse la autenticación de dos factores en las cuentas de correo electrónico y de viajes, y deben mantenerse activas las alertas de seguridad.

Las personas afectadas deben revisar periódicamente su número de pasaporte, la vigencia del documento, las transacciones de viaje recientes y las notificaciones oficiales de operaciones. No deben responder directamente a mensajes de contactos desconocidos sobre reembolsos de billetes, pagos por equipaje adicional, cambios de vuelo o asistencia para visados. Deben rechazarse las solicitudes de códigos de verificación recibidos por teléfono, fotografías del pasaporte o documentos de identidad adicionales; si es necesario, debe iniciarse una sesión independiente desde la dirección conocida de la aerolínea o de la institución oficial. Si se observan operaciones financieras inusuales, debe contactarse sin demora con el banco o el proveedor de la tarjeta correspondiente.

La protección a largo plazo de las cuentas de aerolíneas y servicios de viajes comienza por utilizar contraseñas distintas para cada servicio. Un gestor de contraseñas facilita mantener contraseñas exclusivas y seguras para cada servicio de viajes. También resulta útil separar las direcciones de correo electrónico según su finalidad: la cuenta principal puede reservarse para operaciones importantes, mientras que los registros en servicios de viajes y campañas pueden vincularse a otra dirección. De este modo, una filtración en una aerolínea no se convierte en un incidente que afecte a toda la identidad digital a la vez.

El principio de minimización de datos también es importante. Los campos de dirección, teléfono o documentos que no sean obligatorios no deben conservarse en la cuenta de viajes; las reservas antiguas y las afiliaciones a programas de fidelización que ya no se utilicen deben revisarse periódicamente. En los servicios que incluyen información del pasaporte, no deben compartirse copias innecesarias de documentos ni aceptarse solicitudes ajenas a los procedimientos oficiales. Dado que las filtraciones antiguas de aerolíneas, como la de MalindoAir, pueden utilizarse en listas destinadas al fraude incluso años después, los usuarios deben adquirir el hábito de revisar periódicamente la seguridad de sus cuentas y comunicaciones, en lugar de realizar una única comprobación.

Si encuentra una coincidencia en este registro, anote primero su dirección de correo electrónico afectada y las cuentas de viajes abiertas con ella. A continuación, revise la configuración de seguridad de su cuenta de correo electrónico, su cuenta de la aerolínea, su afiliación al programa de fidelización, su cuenta de la agencia de viajes y los servicios vinculados a pagos. Si reutiliza la misma contraseña en alguna cuenta, cámbiela de inmediato. Si recibe mensajes que le solicitan confirmar datos de su pasaporte, fecha de nacimiento, dirección o teléfono, no comparta información hasta haber realizado una verificación independiente a través del canal oficial, aunque el mensaje parezca auténtico.

La filtración de datos de MalindoAir no debe considerarse una filtración de tarjetas de pago o contraseñas, sino una filtración de registros de clientes de una aerolínea que contiene una amplia cantidad de datos personales y de identidad utilizados para viajar. Campos como el número de pasaporte, la nacionalidad, la dirección, el número de teléfono y la fecha de nacimiento pueden permanecer sin cambios durante mucho tiempo; por tanto, el riesgo no se limita al período cercano a la fecha de la filtración. Cuando se detecta una coincidencia, el objetivo no es generar alarma, sino actuar con mayor cautela en los procesos de autenticación, reforzar la seguridad de las cuentas de viajes antiguas y mantener una vigilancia constante ante solicitudes fraudulentas relacionadas con reservas o documentos.