Filtración de datos de Otelier

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres, datos parciales de tarjetas de crédito, números de teléfono, direcciones físicas, registros de compras y planes de viaje. No se verificó el campo de contraseña; el riesgo se sitúa en el contexto de las reservas y los viajes. No se añadieron a la lista de clases de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros datos de perfil; solo se conservaron los campos respaldados por la evidencia.

Las fechas de viaje y la información del hotel pueden hacer que los mensajes falsos sobre reservas, registro de entrada, actualizaciones de pago o programas de fidelización parezcan convincentes. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; si se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un plan de viaje, datos parciales de tarjetas o datos de dispositivos, resulta más fácil para un atacante crear un mensaje personalizado para el usuario. La evaluación del riesgo se realizó teniendo en cuenta este efecto combinado.

El alcance confirmado para julio de 2024 es de aproximadamente 436 855 direcciones de correo electrónico de clientes. Se conservaron los campos verificados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, sucesos de otros periodos de la misma empresa ni referencias incorrectas al sector.

No se incluyeron en este registro direcciones de correo electrónico adicionales generadas a partir de otras plataformas; el registro se limitó a los datos de clientes verificados de Otelier. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más acotado y preciso posible. En los aspectos inciertos, el indicador de verificación o el campo del sitio web se ajustaron en consecuencia; así se evitó presentar al usuario una atribución de responsabilidad a una marca que no se había podido determinar.

Los grupos de usuarios en riesgo pueden incluir a clientes con reservas hoteleras, personas que viajan por negocios y clientes de marcas hoteleras que utilizan la infraestructura de Otelier. Si sus datos coinciden con este registro, también debe evaluar otras cuentas ajenas al servicio afectado en las que utilice el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña.

La información sobre planes de viaje es más sensible que los datos de contacto habituales en lo que respecta a la seguridad física y el fraude. Si el contexto incluye un correo electrónico corporativo, una cuenta educativa, una reserva hotelera, una suscripción de telecomunicaciones, una comunidad de videojuegos, una donación a un proyecto de código abierto o un software de supervisión, el riesgo de ingeniería social puede aumentar. Que algunos detalles parezcan correctos no es, por sí solo, una señal de confianza.

Si se ha visto afectado, verifique los mensajes sobre reservas hoteleras, registro de entrada, actualizaciones de pago y programas de fidelización directamente con el hotel o a través del canal de reserva. En los registros que incluyan un campo de contraseña, debe actualizarla en todas las cuentas que utilicen la misma; en los registros sin ese campo, debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, el phishing, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, escriba manualmente la dirección del servicio correspondiente o utilice la entrada guardada en un gestor de contraseñas de confianza. No dé por válidos los mensajes sobre envíos, alertas de cuentas, recompensas de videojuegos, asistencia, notificaciones a donantes, reservas de viajes, avisos de seguridad o renovaciones de suscripciones sin verificarlos por un canal independiente.

Utilice contraseñas distintas para las cuentas de viajes y elimine las notificaciones de pago y las direcciones guardadas innecesarias. Depure periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los números de teléfono y direcciones que ya no utiliza. Una contraseña única para cada servicio y la verificación en dos pasos, siempre que sea posible, deben ser una regla básica.

Por parte de los proveedores de servicios, es necesario minimizar los datos, proteger adecuadamente las contraseñas, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. En el software hotelero, los planes de viaje y los datos parciales de tarjetas requieren plazos de conservación estrictos y controles de acceso. Describir con precisión el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, compruebe si su dirección de correo electrónico aparece en este registro. Si encuentra una coincidencia, asuma que sus planes de viaje, dirección, número de teléfono y datos parciales de tarjetas pueden estar en riesgo; revise detenidamente los mensajes sobre reservas. No encontrar una coincidencia no descarta por completo que haya utilizado otro correo electrónico o reutilizado una contraseña antigua; revise también sus cuentas más importantes.

Este registro se ha verificado y actualizado como sensible. En esta edición, los campos de datos se mantuvieron como clases canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.