Violação de dados da WestJet em 2025

A fonte principal é o “Aviso de incidente de segurança cibernética para residentes dos EUA”, publicado no site da própria WestJet. A companhia aérea descreve diretamente a data da atividade suspeita, o acesso não autorizado, a confirmação de que dados foram obtidos, o processo de análise e notificação, as categorias gerais envolvidas, os campos expressamente excluídos e as medidas de segurança adotadas após o incidente.

Um documento de notificação aos consumidores de Massachusetts confirma o modelo da carta individual, os campos do Rewards, as exclusões relativas a cartões e senhas, além de 24 meses de serviços da Cyberscout. A Claim Depot reúne links para a página oficial da WestJet e diversos registros das procuradorias-gerais estaduais e apresenta o total de 1,2 milhão nos EUA, os números por estado e os campos detalhados. As fontes coincidem quanto aos aspectos centrais do incidente e à sua abrangência.

A WestJet identificou atividade suspeita em seus sistemas em 13 de junho. A investigação constatou que um agente criminoso sofisticado havia conseguido acesso não autorizado. A companhia aérea conteve o incidente, protegeu os sistemas e realizou trabalhos técnicos e forenses com especialistas internos e externos. Segundo o comunicado, a segurança e a integridade das operações da companhia aérea nunca estiveram em questão.

O trabalho forense confirmou que determinados dados foram obtidos dos sistemas da WestJet. A organização então analisou o material por campo de dados e tentou localizar informações de contato atualizadas dos residentes dos EUA afetados, concluindo essa análise em 15 de setembro. O comunicado público não identifica o responsável, o método de acesso inicial, por quanto tempo o acesso foi mantido nem se os arquivos foram divulgados publicamente.

As informações variavam de pessoa para pessoa e poderiam incluir nomes, datas de nascimento, endereços postais e outros dados de contato. Documentos relacionados a reservas e viagens poderiam incluir um número de passaporte ou outras informações de documentos de identificação emitidos pelo governo. Adaptações solicitadas, reclamações apresentadas e outras informações de reserva que descreviam a relação da pessoa com a WestJet também podem ter feito parte dos dados envolvidos no incidente.

O contexto fornecido por documentos de viagem e reservas pode ajudar um invasor a criar mensagens direcionadas que aparentem ter conhecimento de uma viagem futura ou anterior. Solicitações de assistência especial ou de adaptações podem permitir inferências sobre informações sensíveis, mas a fonte não confirma nenhum diagnóstico médico específico.

Para membros do WestJet Rewards, o número de identificação do Rewards, o saldo de pontos na data do incidente e outras informações vinculadas ao uso da conta podem ter sido afetados. Para clientes do cartão de marca compartilhada WestJet RBC Mastercard, um identificador do tipo de cartão, como “World Elite”, e informações sobre alterações no saldo de pontos também podem ter feito parte dos dados envolvidos no incidente. Esses campos podem tornar mais convincentes as mensagens de phishing voltadas a contas de programas de fidelidade.

O comunicado oficial exclui expressamente campos importantes: números de cartões de crédito e débito, datas de validade e códigos CVV não foram obtidos, e as senhas dos usuários convidados não foram afetadas. Um identificador do tipo de cartão não é o número do cartão em si. A WestJet afirmou não ter motivos para acreditar que os pontos estivessem em risco, embora os membros ainda devam acompanhar a atividade da conta.

O registro com links para as fontes informa que aproximadamente 1.200.000 pessoas nos EUA foram afetadas. A contagem de pessoas ou registros afetados publicada pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Entre os números por estado estão 1.847 residentes de Massachusetts, 1.487 do Texas, 1.177 da Carolina do Sul, 481 de Montana, 367 de Iowa, 289 de New Hampshire e 240 do Maine. Esses números já estão incluídos no total nacional e não devem ser somados a ele.

A WestJet afirmou ter trabalhado com o FBI, o Canadian Centre for Cyber Security, a Transport Canada, o Office of the Privacy Commissioner of Canada e as procuradorias-gerais estaduais competentes. TransUnion, Experian e Equifax também foram notificadas.

A WestJet conteve o acesso, intensificou o monitoramento e implementou medidas adicionais de segurança dos sistemas e dos dados. Aos clientes elegíveis que foram notificados, foram oferecidos 24 meses de monitoramento de crédito, proteção de identidade e assistência em casos de fraude por meio da Cyberscout. Foi disponibilizada uma linha de atendimento pelo número 1-833-294-7065, das 08:00 às 20:00, no horário do leste dos EUA, em dias úteis.

Você deve verificar suas próximas viagens apenas pelo aplicativo ou site oficial e não deve fornecer informações de cartões de pagamento, documentos de viagem ou acesso à conta em mensagens inesperadas que aleguem representar a WestJet. Confira a atividade do Rewards, os relatórios de crédito e os extratos da conta para identificar movimentações desconhecidas; um alerta de fraude ou bloqueio de crédito pode ser apropriado.