Filtración de datos de Qantas de 2025

Los tipos de datos verificados incluyen el nombre, la dirección de correo electrónico, el número de Qantas Frequent Flyer, el nivel del programa de fidelización, el saldo de puntos, los créditos de estatus, la dirección particular o laboral, la fecha de nacimiento, el número de teléfono, el género y la preferencia de comida. La actualización oficial señaló que 4 millones de registros se limitan al nombre, el correo electrónico y los datos de viajero frecuente; los 1,7 millones de registros restantes incluyen, además de esos campos, datos como la dirección, la fecha de nacimiento, el número de teléfono, el género o la preferencia de comida.

Aunque este conjunto de datos no contiene información bancaria ni de pasaportes, resulta valioso para preparar ataques de phishing e intentos de apropiación de cuentas. Los atacantes pueden combinar números de viajero frecuente, marcas de aerolíneas, correos electrónicos y datos telefónicos para crear mensajes falsos de atención al cliente o pretextos relacionados con actualizaciones de puntos de recompensa, problemas con reservas, entregas de equipaje o verificaciones de cuentas. En el caso de las personas cuyos registros incluyen fechas de nacimiento y direcciones, es mayor el riesgo de que se adivinen las respuestas a las preguntas de autenticación y se intente cometer fraude en otros servicios.

El alcance verificado de la filtración se limita a la plataforma de atención al cliente de un tercero asociada al centro de llamadas de Qantas. La empresa ha declarado que el incidente no afectó a la seguridad operativa de los vuelos, que los sistemas principales de Qantas seguían siendo seguros y que las cuentas de viajero frecuente no se vieron comprometidas directamente. Dado que no se accedió a contraseñas, información de PIN ni credenciales de inicio de sesión, este registro no se ha clasificado como una filtración de contraseñas.

El total de 5,7 millones de personas corresponde al número de clientes únicos anunciado tras eliminar los registros duplicados. Los campos de datos no son los mismos para todos los usuarios. Aproximadamente 1,2 millones de registros contienen el nombre y el correo electrónico; aproximadamente 2,8 millones contienen el nombre, el correo electrónico y el número de viajero frecuente; una gran parte de este último grupo incluye el nivel de fidelización, y una parte menor incluye el saldo de puntos y los créditos de estatus. Para los 1,7 millones de personas restantes, se incluyeron campos adicionales, como la dirección, la fecha de nacimiento, el teléfono, el género y la preferencia de comida, en distintas combinaciones.

El principal grupo en riesgo está formado por los clientes de Qantas y los miembros de su programa de viajero frecuente. Las personas con un registro de atención en el centro de llamadas o en la plataforma de atención al cliente pueden haberse visto afectadas por este incidente, aunque no hayan reservado un vuelo directamente. El alcance de los registros de personas con cuentas o registros de atención asociados a varias direcciones de correo electrónico puede parecer distinto, ya que la empresa ha evaluado los registros de clientes a partir de direcciones de correo electrónico únicas.

El mayor riesgo se concentra en los clientes cuyos registros incluyen campos adicionales como la dirección, la fecha de nacimiento y el número de teléfono. Estas personas pueden recibir intentos de fraude más convincentes, como llamadas de falsos centros de atención, cambios en planes de viaje, reembolsos de puntos, entregas de equipaje, verificaciones de identidad o alertas de seguridad de cuentas de fidelización. Los campos presentes en pocos registros, como las preferencias alimentarias, también pueden utilizarse para generar mensajes personalizados; por ello, incluso los detalles que parecen menores son importantes en el contexto del fraude.

Los usuarios que puedan haberse visto afectados deben comprobar primero qué campos se mencionan en las notificaciones de Qantas. No deben utilizarse enlaces facilitados en correos electrónicos, mensajes de texto o llamadas telefónicas inesperados; si es necesario contactar con la empresa, la verificación debe realizarse de forma independiente a través de canales oficiales conocidos. En particular, si se solicita una contraseña, un código de verificación, información de pago o documentos con el pretexto de consultar el saldo de puntos, proteger la seguridad de la cuenta, corregir una reserva o entregar equipaje, esa solicitud no debe considerarse segura.

Los usuarios deben activar la verificación en dos pasos en sus cuentas personales de correo electrónico y utilizar contraseñas únicas para sus cuentas de viajero frecuente y otras cuentas relacionadas con viajes. Aunque Qantas declaró que no se accedió a las contraseñas en este incidente, los estafadores pueden utilizar los datos de identidad y contacto filtrados para intentar acceder a otras cuentas. Las personas cuyas direcciones o fechas de nacimiento se hayan filtrado deben actualizar las preguntas de seguridad de otros servicios y revisar con atención las notificaciones inesperadas de recuperación de cuentas.

Este incidente demuestra que los centros de llamadas y las plataformas de atención al cliente de terceros plantean riesgos críticos para los datos de los clientes de las aerolíneas. La información de los pasajeros, los detalles de los programas de fidelización y los registros de atención al cliente pueden constituir una base sólida para el fraude dirigido, aunque no contengan directamente información de pago. Las organizaciones deben aplicar medidas de minimización de datos, registros de acceso detallados, autenticación robusta, supervisión de anomalías de comportamiento y auditorías periódicas de seguridad de los proveedores en estas plataformas.

La protección a largo plazo de los usuarios debe ir más allá de una comprobación puntual de las notificaciones. Las cuentas de viajes, las cuentas de correo electrónico, los programas de fidelización y las comunicaciones de atención al cliente deben supervisarse de forma conjunta. Las personas cuyos números de viajero frecuente y direcciones de correo electrónico se hayan filtrado deben mantenerse alerta durante los próximos meses ante intentos de fraude con puntos, campañas falsas, cambios de reservas y suplantación de centros de llamadas. Como la información personal no cambia, el riesgo no se limita a la semana en que se anuncia el incidente.

Este registro de LeakData se ha elaborado para mostrar con claridad al usuario el número de personas afectadas, la fecha del incidente, los campos filtrados y los tipos de datos excluidos en la filtración verificada de Qantas de 2025. La mera aparición de este registro en una consulta por correo electrónico no demuestra qué campos de esa persona se vieron afectados; sin embargo, indica que los usuarios que sean clientes de Qantas o miembros del programa de viajero frecuente deben revisar las notificaciones de la empresa y los ajustes de Seguridad de la cuenta.

Cuando los usuarios encuentren este registro, deben revisar primero su cuenta de Qantas, los datos de contacto registrados, los datos de viajero frecuente y las notificaciones de viaje, si las hay. Si reciben un mensaje o una llamada sospechosos, deben verificarlos a través del canal de asistencia conocido de la empresa y no compartir información personal ni códigos de verificación de cuentas. Aunque el registro indica que los datos financieros y de pasaportes quedan fuera del alcance, clasifica como de alta prioridad el riesgo de ingeniería social dirigida debido a la amplia base de clientes y a los datos del programa de fidelización.