Filtración de datos de Utair de 2019

Los tipos de datos que figuran en este registro son fechas de nacimiento, direcciones de correo electrónico, géneros, datos del programa de fidelización, nombres, números de pasaporte, números de teléfono y direcciones físicas. No se enumeran campos de contraseñas ni de tarjetas de pago; sin embargo, la presencia de números de pasaporte, fechas de nacimiento y datos del programa de fidelización puede dar lugar a ataques dirigidos a los usuarios durante los procesos de verificación de identidad.

Los clientes de las aerolíneas pueden estar acostumbrados a recibir mensajes sobre billetes, facturación, equipaje, cambios de vuelo, puntos de fidelización, documentos para visados, verificación de pasaportes y reembolsos. Estas comunicaciones habituales sobre viajes facilitan que los mensajes falsos parezcan auténticos. Un mensaje que llegue al usuario con su nombre correcto, datos de su pasaporte o información sobre su programa de fidelización puede percibirse como una notificación real de la aerolínea.

El campo de números de pasaporte hace que este registro sea especialmente sensible. El número de pasaporte, junto con la fecha de nacimiento, el nombre y la dirección física, puede utilizarse de forma indebida en procesos de verificación de identidad o de tramitación de documentos de viaje. Las personas afectadas deben comprobar los cambios inesperados en sus billetes y las solicitudes de asistencia para visados, carga de documentos o verificación de pasaportes a través de los canales conocidos de la aerolínea, no mediante el enlace del mensaje.

Los datos del programa de fidelización aumentan el riesgo de fraude en las cuentas de estos programas. Las millas de vuelo, el nivel de afiliación, el uso de puntos o los mensajes de campañas pueden utilizarse para dirigir al usuario a una página de inicio de sesión falsa. Las cuentas de fidelización deben protegerse con contraseñas seguras y únicas, y se deben vigilar las transferencias de puntos y los cambios de perfil.

Los campos de números de teléfono y direcciones físicas permiten realizar ataques mediante SMS, llamadas y correo postal. Los mensajes sobre supuestos cargos por equipaje, reembolsos de vuelos, mejoras de asiento, actualizaciones de los datos del pasajero o solicitudes urgentes de documentos requieren especial atención. Los mensajes que soliciten códigos de verificación, tarjetas de pago, imágenes de pasaportes o información personal adicional deben considerarse sospechosos.

Aunque esta filtración es antigua, los campos como el pasaporte y la fecha de nacimiento conservan su valor durante mucho tiempo. Incluso si se renuevan algunos documentos, los números de pasaporte anteriores, el historial de viajes o la información de la cuenta de fidelización pueden utilizarse en ataques de ingeniería social. Los usuarios no deben restar importancia a una cuenta antigua de una aerolínea y también deben revisar las cuentas de viajes y hoteles que utilicen la misma dirección de correo electrónico.

Los clientes de Utair afectados deben actuar con cautela ante los mensajes relacionados con vuelos, billetes, equipaje, puntos de fidelización, verificación de pasaportes, documentos para visados o reembolsos. Aunque el mensaje muestre correctamente la información personal, las operaciones deben realizarse a través de canales oficiales conocidos. Si bien este registro no contiene ninguna contraseña, supone un riesgo a largo plazo de fraude de identidad y fraude relacionado con viajes debido a los campos de pasaporte, fecha de nacimiento y programa de fidelización.

El impacto a largo plazo de la información sobre viajes que contiene el registro de Utair es importante. Aunque los datos antiguos del pasaporte o del programa de fidelización estén desactualizados, los estafadores pueden utilizarlos para ganarse la confianza del usuario. Si el usuario ha realizado operaciones anteriormente con la misma aerolínea o con agencias afiliadas, los mensajes que incluyan información de billetes o puntos antiguos pueden resultar más convincentes.

Las cuentas de viajes suelen utilizar conjuntamente información de correo electrónico, teléfono, pasaporte y pago. Por ello, las personas afectadas deben revisar no solo su cuenta de Utair, sino también las cuentas de hoteles, alquiler de vehículos, seguros de viaje y programas de fidelización de otras aerolíneas que utilicen el mismo correo electrónico. En particular, los mensajes que soliciten la verificación del pasaporte o transferencias de puntos deben comprobarse a través de un canal independiente.

Para las instituciones, el incidente de Utair muestra que la información de pasaportes y de contacto debe protegerse como datos de acceso restringido en los programas de fidelización de las aerolíneas. Los registros de viajes antiguos y el historial de las cuentas de fidelización no deben conservarse durante largos periodos sin necesidad.

Los pasajeros también deben recurrir al canal oficial ante cualquier aviso que llegue acompañado de documentos de viaje.

Este enfoque reduce el riesgo de fraude.