Hackers «de primer nivel mundial», según fuentes de Air Europa, fueron los autores de un ciberataque que comprometió los datos bancarios de más de 110.000 clientes. Los mismos usuarios a los que la aerolínea contactó el martes para instarles a cancelar las tarjetas bancarias con las que llevaron a cabo las operaciones de compra en la página web de la compañía.
Las mismas fuentes han informado de que pese a las especulaciones sobre la nacionalidad de los autores del ataque, no hay por el momento ninguna confirmación al respecto. Únicamente que se trata de una organización de profesionales de máxima cualificación que consiguieron burlar la vigilancia de la seguridad informática de la aerolínea, la cual corre a cargo de tres empresas diferentes.
Los ciberdelincuentes lograron generar una suerte de pasillo digital por el que llegar al portal de compras y parasitarla durante un periodo de unos nueve días, según los cálculos de la empresa, concretamente a finales de septiembre. Durante ese tiempo se redirigieron las visitas de los usuarios a una página clon de la original. De esa manera, los hackers tenían acceso a los procesos de compra de billetes de los vuelos, lo que incluía la introducción de sus datos bancarios.
Precisamente por ello, la compañía aérea informó a sus clientes de que se habían visto comprometidos los datos necesarios para efectuar una operación bancaria: el número de la tarjeta, la fecha de caducidad de la misma y el CVV (código valor de validación o verificación).
Juanjo Fuster, experto de ciberseguridad de la empresa afincada en Palma Intec, explica que en principio no es posible que los usuarios se introdujeran y operaran simultáneamente en los dos portales -el clon y el original-, aunque sí que el portal fraudulento captara los datos de los clientes y los redirigiera posteriormente a la auténtica web de Air Europa para que se hiciera efectiva la compra y así no se despertaran sospechas.
En cualquier caso, la empresa hace hincapié en el hecho de que los ciberdelincuentes en ningún caso entraron en su base de datos. También asegura que no se ha detectado ninguna operación fraudulenta con los datos robados. Precisamente, la captación de los tres dígitos del CVV era una de las cuestiones que más escamaban a los expertos en la materia, algo que queda explicado con la metodología seguida por los piratas informáticos.
En ese sentido, Llorenç Huguet, director de la Unidad de Innovación Tecnológica en Ciberseguridad en la Universitat de les Illes Balears (UIB) y antiguo rector, señala que la compañía había «obrado de manera correcta» al informar de inmediato a los usuarios y a las autoridades pertinentes, aunque objetaba que «la empresa no debería haberse podido quedar con los CVV», algo, señala, que podría haberle causado problemas con la Agencia Española de Protección de Datos (AEPD).
Con la técnica del pasillo y clonado del portal de compra, los ciberdelincuentes podían cazar los CVV y el resto de datos directamente de los clientes a través de la propia operación de pago de los billetes.