Cibercriminales consiguen los datos de 20.000 usuarios de la app de Air Canada

La aerolínea Air Canada está solicitando a todos los usuarios de su aplicación que cambien sus contraseñas tras haber descubierto una filtración masiva de los datos de sus usuarios. La compañía afirma que el incidente afectó a 20.000 de sus 1,7 millones de usuarios, pero aun así está asegurándose de que todos los usuarios que descargaron su aplicación tomen esta medida de seguridad.

Air Canada explicó que había detectado “inicios de sesión inusuales en la aplicación para móviles de Air Canada entre el 22 y el 24 de agosto de 2018”. Esto dio a los hackers acceso a la información básica de los usuarios de la aplicación, incluyendo sus nombres, direcciones de correo electrónico y números de teléfono. Si los usuarios decidieron incluir información adicional en sus perfiles, también estuvo expuesta a los cibercriminales. Esta información puede incluir números de pasaporte y su fecha de expiración, país y fecha en el que fue emitido, número Aeroplan, número de viajero, número de NEXUS (viajero frecuente), fecha de nacimiento y nacionalidad.

La compañía indicó que la información expuesta por sí misma no es suficiente como para que los atacantes puedan utilizar los pasaportes de los usuarios sin su autorización. “Si almacenaste la información de tu pasaporte en tu perfil, el sitio web del gobierno de Canadá recomienda que el riesgo de que terceras personas consigan un pasaporte falso a tu nombre es bajo si todavía tienes tu pasaporte, prueba de la ciudadanía y documentos que respalden tu identidad”, dijo la compañía.

Air Canada también afirmó que toda la información personal y financiera que almacena está cifrada y “almacenada de acuerdo a los estándares de seguridad establecidos por la industria de pagos por tarjeta de crédito, también conocidos como estándares PCI”.

No se ha develado cómo se realizó el ataque que expuso los datos y Air Canada no ha descartado la posibilidad de que las contraseñas se hayan filtrado en un ataque anterior que no estuvo dirigido a sus sistemas. Aun así, prefirió asegurarse de que todos los usuarios de su aplicación renueven sus contraseñas con mayores restricciones para hacerlas más seguras: deben tener como mínimo un símbolo y una extensión de 10 caracteres. Hasta ahora, las contraseñas de la aplicación tenían una extensión de entre 6 y 10 símbolos y no aceptaban caracteres especiales.

El especialista en seguridad informática Amit Sethi, de Synopsys Inc., dijo que la adopción de un sistema de autentificación de dos factores habría sido clave para evitar esta situación. “No existe excusa alguna para que las organizaciones sigan dependiendo de las contraseñas para la autentificación de sus usuarios. En este caso, el ataque puede haber estado relacionado con la aplicación móvil de Air Canada. Todos los que usan una aplicación para celulares tienen un teléfono móvil que pueden usar en muchos tipos de sistemas de autentificación de varios factores”.

A pesar de todo, Air Canada asegura que está tomando las precauciones necesarias para evitar que el problema se repita o se complique. “Actuamos de inmediato para bloquear las intrusiones e implementamos protocolos adicionales para protegernos contra los intentos de ingreso sin autorización. Como medida de precaución adicional, hemos bloqueado todas las cuentas de la aplicación para teléfonos móviles de Air Canada para proteger los datos de nuestros clientes”.

Fuentes
Air Canada Suffers Data Breach — 20,000 Mobile App Users Affected • The Hacker News
Air Canada mobile app breach affects 20,000 people • CBC Canada
All 1.7 million Air Canada app users must reset password after breach • IT World Canada