El reciente incidente de seguridad sufrido por Booking vuelve a poner de manifiesto que las consecuencias de una filtración de datos no terminan cuando se detecta el ciberataque. En muchos casos, el verdadero problema aparece meses después, cuando los datos robados comienzan a ser utilizados para cometer fraudes cada vez más sofisticados.
Según las informaciones publicadas en los últimos días, el ciberataque sufrido por la plataforma de reservas permitió el acceso no autorizado a información personal de algunos usuarios, incluyendo nombres, direcciones de correo electrónico, números de teléfono y detalles de sus reservas.
Aunque inicialmente el incidente pudo parecer controlado, los expertos en ciberseguridad advierten de que los ciberdelincuentes están utilizando esa información para desarrollar campañas de fraude altamente personalizadas.
El hecho de disponer de datos reales sobre un viaje (fechas, destino, hotel e incluso importe de la reserva) permite a los atacantes hacerse pasar por la plataforma o por el propio establecimiento con una credibilidad muy superior a la de un phishing tradicional.
Pérdidas económicas y de reputación
Las consecuencias de este tipo de incidentes pueden ser especialmente graves para los afectados:
- Solicitudes de pagos adicionales fraudulentos.
- Modificaciones o cancelaciones de reservas.
- Suplantación de identidad de hoteles y plataformas de reserva.
- Robo de datos bancarios.
- Viajeros que descubren al llegar a destino que su habitación ya no está disponible.
Además del perjuicio económico, estas situaciones generan importantes problemas operativos y personales, especialmente en plena temporada vacacional, cuando encontrar un alojamiento alternativo puede resultar complicado y costoso.
La importancia de la protección de los datos personales
La información personal tiene un enorme valor para los ciberdelincuentes. Datos aparentemente inocuos, como un correo electrónico o la confirmación de una reserva, pueden convertirse en la puerta de entrada a fraudes mucho más complejos.
Por ello, las organizaciones que gestionan grandes volúmenes de información personal deben reforzar continuamente sus medidas de seguridad y adoptar un enfoque preventivo en materia de protección de datos y ciberseguridad.
La normativa de protección de datos exige a las empresas implementar medidas técnicas y organizativas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de la información que tratan.
¿Qué pueden hacer los usuarios?
Es recomendable verificar la reserva directamente con el alojamiento. Es aconsejable contactar con el hotel unos días antes del viaje y confirmar que la reserva sigue activa y sin modificaciones.
Desconfiar de solicitudes de pago urgentes
Ninguna comunicación recibida por correo electrónico, SMS o mensajería instantánea debe atenderse sin comprobar previamente su autenticidad, especialmente si solicita un nuevo pago o la actualización de datos bancarios.
También ser recomienda conservar toda la documentación como justificantes de pago, correos de confirmación y cualquier comunicación relacionada con la reserva puede ser fundamental en caso de reclamación.
Revisar cuidadosamente cualquier mensaje recibido
Los ciberdelincuentes utilizan información real para generar confianza. Por ello, el hecho de que un mensaje incluya datos correctos sobre un viaje no garantiza que sea legítimo.
El caso de Booking indica que una brecha de seguridad puede tener consecuencias durante meses e incluso años después de producirse.
Fuente: Economiadigital
En FORLOPD te ayudamos a proteger la información de tu empresa y a cumplir con la normativa de protección de datos. Contacta con nosotros a través del (+34) 963 122 868 y refuerza tu seguridad con la norma ISO 27001 o el Esquema Nacional de Seguridad.
¿Qué debo hacer si creo que mis datos han sido comprometidos?
Cambia las contraseñas de las cuentas afectadas, revisa los movimientos bancarios, conserva todas las comunicaciones recibidas y contacta con la empresa implicada para obtener más información.
¿Por qué los ciberdelincuentes utilizan datos reales en sus fraudes?
La información obtenida en una brecha de seguridad les permite crear mensajes más creíbles y personalizados, aumentando las posibilidades de que la víctima caiga en el engaño.
¿Qué obligaciones tienen las empresas en materia de protección de datos?
Las organizaciones deben aplicar medidas técnicas y organizativas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de los datos personales que gestionan.
El Reglamento General de Protección de Datos (RGPD) establece una serie de principios que deben guiar el tratamiento de los datos personales. Incidentes como el sufrido por Booking ponen de manifiesto la importancia de aplicar estos principios de forma efectiva.
Integridad y confidencialidad
Las empresas deben garantizar que los datos personales estén protegidos frente a accesos no autorizados, pérdidas o tratamientos ilícitos mediante medidas técnicas y organizativas adecuadas. La seguridad de la información es una obligación permanente y debe adaptarse a los riesgos existentes.
Responsabilidad proactiva
El RGPD exige que las organizaciones no solo cumplan la normativa, sino que puedan demostrar dicho cumplimiento. Esto implica evaluar riesgos, implantar medidas de seguridad, formar al personal y revisar periódicamente los procedimientos de protección de datos.
Minimización de datos
Solo deben recopilarse los datos personales estrictamente necesarios para la finalidad prevista. Cuanta menos información se almacene, menor será el impacto potencial en caso de una brecha de seguridad.
Limitación del plazo de conservación
Los datos personales no deben conservarse más tiempo del necesario. Establecer políticas de conservación y eliminación segura contribuye a reducir la exposición ante posibles ciberataques.
Protección de datos desde el diseño y por defecto
La privacidad y la seguridad deben integrarse desde el inicio en cualquier proceso, producto o servicio que implique el tratamiento de datos personales, aplicando por defecto las medidas más garantistas para los interesados.
La aplicación de estos principios no solo permite cumplir con el RGPD, sino que también contribuye a reforzar la confianza de clientes y usuarios y a minimizar las consecuencias de posibles incidentes de seguridad.
