Filtración de datos de WestJet de 2025

La fuente principal es el «Aviso de incidente de ciberseguridad para residentes de Estados Unidos» publicado por WestJet en su propio sitio web. La aerolínea describe directamente la fecha de la actividad sospechosa, el acceso no autorizado, la confirmación de que se obtuvieron datos, el proceso de revisión y notificación, las categorías generales de datos implicadas, los campos expresamente excluidos y las medidas de seguridad adoptadas tras el incidente.

Un expediente de notificación a consumidores de Massachusetts confirma el modelo de carta individual, los campos de datos de Rewards, las exclusiones relativas a tarjetas y contraseñas, y los 24 meses de servicios de Cyberscout. Claim Depot enlaza la página oficial de WestJet con varios registros de las fiscalías generales estatales y aporta la cifra total de 1,2 millones en Estados Unidos, las cifras por estado y el detalle de los campos. Las fuentes coinciden en los aspectos centrales del incidente y su alcance.

WestJet detectó actividad sospechosa en sus sistemas el 13 de junio. La investigación determinó que un actor delictivo sofisticado había accedido sin autorización. La aerolínea contuvo el incidente, protegió sus sistemas y llevó a cabo trabajos técnicos y forenses con especialistas internos y externos. Según su aviso, la seguridad y la integridad de las operaciones de la aerolínea nunca estuvieron en entredicho.

El análisis forense confirmó que se habían obtenido determinados datos de los sistemas de WestJet. La organización analizó después el material campo por campo e intentó localizar información de contacto actualizada de los residentes afectados de Estados Unidos. Esa revisión concluyó el 15 de septiembre. El aviso público no identifica al responsable, el método de acceso inicial, el tiempo durante el que mantuvo el acceso ni si los archivos se difundieron públicamente.

La información variaba según la persona y podía incluir nombres, fechas de nacimiento, direcciones postales y otros datos de contacto. Los documentos relacionados con reservas y viajes podían incluir un número de pasaporte u otros datos de identificación oficial. También podrían haberse visto afectados las solicitudes de adaptación, las reclamaciones presentadas y otros datos de reservas que describieran la relación de una persona con WestJet.

Los datos de los documentos de viaje y el contexto de las reservas pueden ayudar a un atacante a elaborar mensajes dirigidos que aparenten conocer un viaje próximo o anterior. Las solicitudes de asistencia especial o de adaptación pueden permitir deducir información sensible, pero la fuente no confirma ningún diagnóstico médico específico.

En el caso de los miembros de WestJet Rewards, podrían haberse visto afectados el número de identificación de Rewards, el saldo de puntos en la fecha del incidente y otros datos vinculados al uso de la cuenta. Para los clientes de la tarjeta de marca compartida WestJet RBC Mastercard, también podrían haberse visto implicados un identificador del tipo de tarjeta, como «World Elite», y datos sobre cambios en el saldo de puntos. Estos campos pueden hacer más convincentes los mensajes de phishing dirigidos a cuentas de programas de fidelización.

El aviso oficial excluye expresamente campos importantes: no se obtuvieron números de tarjetas de crédito o débito, fechas de vencimiento ni códigos CVV, y las contraseñas de los usuarios invitados no se vieron afectadas. Un identificador del tipo de tarjeta no es el número real de la tarjeta. WestJet afirmó que no tenía motivos para creer que los puntos estuvieran en riesgo, aunque los miembros deberían seguir revisando la actividad de sus cuentas.

El registro con enlaces a las fuentes informa de aproximadamente 1 200 000 personas afectadas en Estados Unidos. La cifra de personas o registros afectados publicada por la fuente oficial refleja el alcance declarado del incidente. No significa que todas las categorías de datos indicadas correspondieran a todas las personas. Algunos ejemplos por estado son 1 847 residentes de Massachusetts, 1 487 de Texas, 1 177 de Carolina del Sur, 481 de Montana, 367 de Iowa, 289 de Nuevo Hampshire y 240 de Maine. Estas cifras parciales no se suman al total nacional.

WestJet afirmó que colaboró con el FBI, el Centro Canadiense de Ciberseguridad, Transport Canada, la Oficina del Comisionado de Privacidad de Canadá y las fiscalías generales estatales pertinentes. También se notificó a TransUnion, Experian y Equifax.

WestJet contuvo el acceso, reforzó la supervisión e implementó medidas adicionales de seguridad para los sistemas y los datos. A los clientes notificados que cumplían los requisitos se les ofrecieron 24 meses de seguimiento crediticio, protección de la identidad y asistencia ante el fraude a través de Cyberscout. Se facilitó una línea de asistencia en el 1-833-294-7065, disponible de 8:00 a.m. a 8:00 p.m., hora del este, de lunes a viernes.

Si va a viajar, verifique sus próximos viajes únicamente a través de la aplicación o el sitio web oficiales y no facilite datos de tarjetas de pago, documentos de viaje o credenciales de acceso en mensajes inesperados que afirmen proceder de WestJet. Revise la actividad de Rewards, los informes crediticios y los estados de cuenta para detectar movimientos que no reconozca; puede ser conveniente activar una alerta de fraude o un congelamiento del crédito.