Usuarios de Air Europa han recibido un correo de la empresa avisando de que la aerolínea ha sufrido un ciberataque que ha supuesto el robo de la información bancaria de algunos usuarios. En concreto, los datos sustraídos son el número de varias tarjetas, sus fechas de caducidad y el CVV. La compañía ha confirmado el ataque informático sufrido.

La aerolínea española ahora propiedad de Iberia, asegura que los atacantes han tenido acceso a datos como el número de tarjeta, la fecha de caducidad, y el CCV, y ha solicitado a quienes hayan recibido dicho correo que, “ante el riesgo de suplantación de tarjetas y fraude” soliciten la baja de la tarjeta. 

• Air Europa ya sufrió un ciberataque similar en 2018, por el que fue multado con 600.000 euros

Air Europa sufre un ciberataque y recomienda a los clientes que cancelen su tarjeta

• La compañía pide a sus usuarios que se pongan en contacto con su banco para cancelar la tarjeta que hayan usado para realizar pagos en la web de la empresa

En el citado mail recibido por algunos clientes, Air Europa ha recomendado a éstos que se pongan en contacto con su entidad bancaria para cancelar la tarjeta de crédito que hayan utilizado para pagos con su empresa. "Ante el riesgo de suplantación de tarjetas y fraude que este incidente podría suponer, y en aras a proteger sus intereses, le recomendamos que siga los siguientes pasos:", dice el email.

1. Identifique la tarjeta usada para efectuar pago/s en la página web de AIR EUROPA.
2. Contacte con su entidad bancaria.
3. Solicite la anulación/cancelación/sustitución de esa tarjeta para poder evitar el posible uso fraudulento de su información.
4. No facilite información personal, su pin, nombre o cualquier otro dato personal a través de teléfono, mensaje o email, incluso cuando se identifiquen como su entidad bancaria.
5. No pinche enlaces que le avisen de operaciones fraudulentas. Póngase en contacto directo con su entidad bancaria por medios constatables.
6. Recopile cualquier prueba de posible uso no autorizado de su tarjeta y denúncielo ante las Fuerzas y Cuerpos de Seguridad del Estado.

Air Europa ha confirmado que ha sufrido "un problema de ciberseguridad que habría afectado al entorno de pagos con el que se gestionan las compras a través de la web". También han constatado que "no hay constancia de que la filtración haya terminado utilizándose para cometer ningún fraude" y que "la detección y rápida intervención del equipo para la aplicación del protocolo establecido ha permitido bloquear la brecha de seguridad y prevenir la filtración de nuevos datos". 

La compañía ha informado que "los datos extraídos han sido exclusivamente los asociados a las propias tarjetas en sí y no a los clientes" y que "en ningún caso los ciberdelincuentes han accedido a otras bases de datos de Air Europa ni han extraído otro tipo de información personal de los clientes".

La aerolínea, que ha comunicado que sus sistemas funcionan con total normalidad, ha pedido disculpas a todos sus clientes afectados y se ha puesto a disposición de los usuarios que necesiten cualquier tipo de asesoramiento. "Nuestro objetivo es evitar que situaciones similares se produzcan en el futuro, así como minimizar las posibles molestias que todo ello pueda causar", finaliza el correo electrónico.

Los clientes afectados han recibido este email, en castellano y en inglés, con el asunto "Air Europa – Información urgente e importante / Urgent and important information":

Estimado Cliente:

En AIR EUROPA estamos comprometidos con la seguridad y privacidad de nuestros clientes. En este sentido, trabajamos diariamente para aplicar las mejores prácticas del sector y cumplir con la normativa vigente. De acuerdo con este compromiso, le comunicamos que recientemente se detectó un incidente de ciberseguridad en uno de nuestros sistemas consistente en un posible acceso no autorizado a datos de su tarjeta bancaria, concretamente a la siguiente:

• El número de la tarjeta bancaria finalizada en XXXX. 
• La fecha de caducidad de dicha tarjeta.
• El CVV de la tarjeta.

Desde el primer momento hemos puesto en marcha todos nuestros recursos para contener el incidente, adoptando todas las medidas técnicas y organizativas necesarias. Gracias a ello, hemos asegurado nuestros sistemas , garantizando el correcto funcionamiento del servicio. Adicionalmente, realizamos las debidas notificaciones a las autoridades competentes y entidades necesarias (AEPD, INCIBE, entidades bancarias, etc).

Ante el riesgo de suplantación de tarjetas y fraude que este incidente podría suponer, y en aras a proteger sus intereses, le recomendamos que siga los siguientes pasos:

1. Identifique la tarjeta usada para efectuar pago/s en la página web de AIR EUROPA.

2. Contacte con su entidad bancaria.

3. Solicite la anulación/cancelación/sustitución de esa tarjeta para poder evitar el posible uso fraudulento de su información.

4. No facilite información personal, su pin, nombre o cualquier otro dato personal a través de teléfono, mensaje o email, incluso cuando se identifiquen como su entidad bancaria.

5. No pinche enlaces que le avisen de operaciones fraudulentas. Póngase en contacto directo con su entidad bancaria por medios constatables.

6. Recopile cualquier prueba de posible uso no autorizado de su tarjeta y denúncielo ante las Fuerzas y Cuerpos de Seguridad del Estado.

Nuestro objetivo es evitar que situaciones similares se produzcan en el futuro, así como minimizar las posibles molestias que todo ello pueda causar.

Le pedimos disculpas por los perjuicios que le hayamos podido ocasionar y nos encontramos a su completa disposición para cualquier aclaración o resolución adicional de dudas que pudiera necesitar. Asimismo, si desea obtener más información acerca de la gestión de la brecha de seguridad, contacte con nuestro Delegado de Protección de Datos en el correo: delegadopd@aireuropa.com

No es el primer hackeo que sufre Air Europa. En 2018 se robaron los datos de 489.000 clientes, entre los que se encontraba información de sus tarjetas bancarias. De entre ellas, se informó que unas 4.000 tarjetas de crédito habían sido utilizadas para cometer fraude. Aquel hecho derivó en una multa de 600.000 euros por parte de la AEPD por incluir la ley de protección de datos. Habrá que esperar para conocer el alcance del nuevo ciberataque.

Fuentes:

https://www.elmundo.es/economia/empresas/2023/10/10/6524fddf21efa0a4558b458f.html