Para: cualquier persona que se haya alojado en una propiedad de Quest Apartment Hotels (incluidos viajeros de negocios y de ocio que visitan Australia desde el extranjero), y quien gestione datos de tarjetas para reservas o servicios. Este artículo se basa en las declaraciones oficiales de Quest Apartment Hotels y en material público de agencias australianas y del PCI Security Standards Council. No aborda métodos de ataque.
Qué deben hacer hoy los huéspedes
Busque un aviso y compruebe el dominio y el número del remitente
Quest dice que ha enviado correos electrónicos directamente a las personas afectadas y que usa SMS o correo postal para quienes no tienen un correo electrónico registrado. El aviso le indica qué información suya se vio afectada. Revise su carpeta de spam.
Según Quest, los correos auténticos proceden de un dominio que termina en questapartments.com.au, y los SMS sobre el incidente proceden de +61 485 095 177 o +61 468 153 778. Mire la dirección real del remitente, no solo el nombre que aparece.
Si se vio afectada una tarjeta con su CVV, pregunte a su emisor por una reposición
Quest recomienda revisar sus extractos y contactar con su banco para informar de la filtración. Este sitio recomienda un paso más: en el caso de tarjetas no caducadas, pida una reposición con un número nuevo. El número de tarjeta, la fecha de caducidad y el CVV juntos pueden usarse para compras en línea.
Si su tarjeta se emitió fuera de Australia, llame al número que figura en el reverso de la tarjeta. Si solo se vio afectado un número sin CVV, siga revisando sus extractos.
No haga clic en los enlaces de «confirme su reserva» en mensajes de WhatsApp ni en correos
El 25 de septiembre, Quest advirtió sobre correos y mensajes de WhatsApp que se hacen pasar por Quest y piden a los clientes confirmar una reserva próxima haciendo clic en un enlace. No haga clic, no llame al número del mensaje y contacte con el hotel directamente con los datos que figuran en el sitio web de Quest. Quest dice que nunca pedirá contraseñas ni datos de tarjeta por SMS (vea qué es el phishing).
Números de pasaporte: no se apresure a reemplazarlos; consulte la recomendación de su emisor
Citando a la Oficina de Pasaportes de Australia, Quest afirma que, si se comprometió su número de pasaporte australiano, el pasaporte sigue siendo válido para viajar al extranjero, y un número de pasaporte no puede usarse para obtener un pasaporte nuevo. Solo se vio afectado el número, no una imagen del pasaporte.
Esa recomendación se refiere a los pasaportes australianos. Si tiene un pasaporte de otro país, siga las recomendaciones generales de la OAIC para documentos de identidad expuestos y contacte con la agencia emisora.
Licencia australiana, Medicare o números de NDIS: contacte con cada agencia
Las preguntas frecuentes de Quest sugieren contactar con lo siguiente, para que se pueda emitir un número de reposición si es necesario:
- Licencia de conducir: la autoridad de tránsito de su estado o territorio
- Número de Medicare: la Línea de Ayuda contra Estafas y Robo de Identidad de Services Australia (1800 941 126)
- Número de NDIS: la Línea de Denuncia de Fraudes y Estafas del NDIS (1800 650 717)
Si tiene crédito en Australia, considere una prohibición de informes de crédito
Las preguntas frecuentes de Quest sugieren considerar una prohibición de informes de crédito, de modo que las agencias de informes crediticios no puedan divulgar su historial crediticio a los proveedores de crédito sin su consentimiento por escrito (enumera cómo solicitarla a Equifax y Experian).
La OAIC también recomienda obtener sus informes de crédito cuando se exponga información financiera. Este paso importa poco a los visitantes que no tienen historial crediticio australiano.
¿Necesita ayuda? IDCARE, Scamwatch, cyber.gov.au
IDCARE es el servicio nacional de apoyo en identidad y ciberseguridad de Australia; evalúa su situación y elabora un plan de respuesta a medida (personas: 1800 595 160). Scamwatch cubre las estafas y su denuncia; cyber.gov.au cubre los incidentes cibernéticos. Las preguntas frecuentes de Quest también remiten a Scamwatch y cyber.gov.au.
① Número de tarjeta + CVV (46.727)
→ Llame a su emisor, pregunte por una reposición, siga revisando los extractos
② Solo número de tarjeta (297.739)
→ Informe a su banco, revise los extractos con regularidad
③ Número de pasaporte / licencia (104.268)
→ Consulte la recomendación del emisor; desconfíe de los contactos que citen su número
④ Solo nombre y datos de contacto (la mayoría)
→ No haga clic en los enlaces de los mensajes de «confirme su reserva»
En todos los casos: según Quest, no se vio afectado ningún pasaporte ni documento de identidad escaneado
Qué ocurrió (según las declaraciones de Quest Apartment Hotels)
Todo lo que sigue procede de las declaraciones oficiales de Quest (19 de agosto, 21 de agosto, 16 de septiembre, 23 de septiembre y 25 de septiembre) y de sus preguntas frecuentes.
17 de agosto de 2026
Quest identifica una caída de su sitio web; su investigación confirma que un actor de amenazas explotó una vulnerabilidad en el software de un proveedor de servicios externo y obtuvo acceso al entorno de Quest. El incidente queda contenido.19 de agosto
Primera declaración: registros anteriores a junio de 2025, principalmente nombres, direcciones de correo electrónico y otros datos de contacto.21 de agosto
Quest dice que, en la gran mayoría de los casos, la información se limitó a nombre y datos de contacto, y que ha notificado el caso a la OAIC, la Australian Signals Directorate (ASD), el Australian Cyber Security Centre (ACSC) y la Policía de Victoria, con quienes colabora.16 de septiembre
Completado el análisis forense de datos: aproximadamente 1.991.613 clientes afectados, con cifras por categoría que incluyen números de tarjeta con CVV.23 de septiembre
Orientación sobre números de pasaporte y de licencia de conducir; se publican las preguntas frecuentes.25 de septiembre
Advertencia sobre mensajes de WhatsApp y correos que se hacen pasar por Quest.
| Categoría (actualización de Quest del 16 de septiembre) | Registros |
|---|---|
| Número de matrícula del vehículo | 225.300 |
| Número de pasaporte y/o de licencia de conducir (solo número, sin documentos de identidad escaneados) | 104.268 |
| Número de tarjeta de crédito (sin CVV, incluidas tarjetas caducadas) | 297.739 |
| Número de tarjeta de crédito con CVV (incluidas tarjetas caducadas) | 46.727 |
| Fecha de nacimiento | 3.328 |
| Número de NDIS (solo número) | 271 |
| Número de tarjeta Medicare (solo número) | 46 |
- Alcance
- Aproximadamente 1.991.613 clientes. Registros anteriores a junio de 2025
- Común a las personas afectadas
- Alguna combinación de nombre, dirección, número de teléfono y correo electrónico (las preguntas frecuentes también mencionan información de reservas y preferencias personales)
- Algunas personas
- Según la tabla anterior. No todas las categorías se aplican a cada persona
- Causa (según Quest)
- Un actor de amenazas explotó una vulnerabilidad en el software de un proveedor de servicios externo y obtuvo acceso al entorno de Quest. Los detalles de la vulnerabilidad no se han revelado
- Respuesta de Quest
- Contuvo el incidente y completó la remediación; investigó con asesoría jurídica externa y especialistas en análisis forense de datos; reforzó los controles de seguridad; exigió al proveedor externo que remediara el entorno afectado y añadiera medidas de seguridad
- Autoridades
- Notificadas, con las que colabora: OAIC, ASD, ACSC y Policía de Victoria
- Contacto
- privacy@questapartments.com.au
Cómo leerlo: «principalmente nombres y datos de contacto» cambió
En agosto, Quest dijo que la gran mayoría de las personas afectadas solo tenían implicados su nombre y datos de contacto. Un mes después, con el análisis completado, publicó cifras que incluyen números de tarjeta con CVV y números de pasaporte.
Sigue siendo cierto que la mayoría de las personas solo vio afectados su nombre y datos de contacto, pero si leyó la primera declaración y decidió que no le afectaba, vuelva a comprobar si hay un aviso. Quest dice que las notificaciones se envían por fases a medida que verifica la información de cada persona.
¿Por qué había CVV en los registros de un hotel? Lo que dice PCI DSS
El código de verificación de 3 o 4 dígitos (CVV) impreso en una tarjeta tiene un tratamiento especial en el estándar de seguridad del sector de tarjetas PCI DSS. Según material público del PCI Security Standards Council (PCI SSC), que mantiene el estándar:
- Los códigos de verificación de tarjetas se clasifican como datos sensibles de autenticación (SAD), junto con los datos completos de la banda magnética (pista) y los PIN.
- Los datos sensibles de autenticación no deben almacenarse después de la autorización, aunque estén cifrados, y esto se aplica incluso en entornos donde no hay ningún número de tarjeta.
- No se permite conservar los códigos de verificación de tarjetas después de la autorización ni siquiera con el permiso del cliente, ni para pagos guardados o recurrentes. La excepción son los emisores y las empresas que prestan servicios de emisión con una necesidad comercial legítima.
- PCI DSS no prohíbe recoger el código antes de que la transacción se autorice.
Puede almacenarse después de la autorización (se aplican requisitos de protección)
- Número de tarjeta (PAN)
- Nombre del titular
- Fecha de caducidad
- Código de servicio
No se almacena después de la autorización (datos sensibles de autenticación)
- Códigos de verificación de tarjetas (CVV, etc.)
- Datos completos de la pista (banda magnética o equivalente en chip)
- PIN y bloques de PIN
Entonces, ¿qué eran los 46.727 CVV de los registros de Quest? Quest no lo ha dicho. No se ha revelado si se capturaron al hacer la reserva antes de la autorización, cuánto tiempo se conservaron, ni en qué sistema y de qué manera se almacenaron.
Las preguntas frecuentes de Quest dicen que los registros afectados eran los que su proveedor de servicios externo había dejado en ese entorno, y que la investigación avanza junto con el proveedor. Este sitio no está en condiciones de concluir, a partir de esta información, que alguien haya incumplido PCI DSS.
Opinión de este sitio: como huésped, lo que puede hacer es limitar adónde llega su CVV
La razón que da el PCI SSC para prohibir el almacenamiento posterior a la autorización es que los códigos robados pueden correlacionarse con otros datos robados para reconstruir tanto el número de tarjeta como el código de verificación. Dicho de otro modo, un CVV es un dato que normalmente debería desaparecer una vez hecho el pago, y el hecho de que estuviera en registros de reservas es lo que hace este incidente más grave.
La medida realista para los huéspedes es reducir las personas y los momentos a los que entregan un CVV:
- No escriba los datos de la tarjeta en correos ni chats con un alojamiento
- Cuando sea posible, elija opciones en las que el pago se complete en el momento
- Use una sola tarjeta para compras en línea, de modo que, cuando llegue un aviso como este, la reposición se limite a una tarjeta
Para otro incidente de reservas de alojamiento de este año, vea el acceso a datos de reservas de Booking.com.
Para empresas que manejan datos de tarjetas
La propia explicación de Quest sobre la causa no va más allá de «una vulnerabilidad a través de un proveedor de servicios externo». Lo que sigue es orientación general para cualquiera que recoja datos de tarjetas para reservas o servicios. No es una declaración sobre la causa de este incidente.
Averigüe dónde permanecen los CVV, en sus sistemas y en los de sus proveedores
No conservar los códigos de verificación de tarjetas después de la autorización es un principio que las preguntas frecuentes del PCI SSC repiten. Revise no solo su propia base de datos, sino también los sistemas de los proveedores, los datos antiguos de reservas y las copias que quedan tras las migraciones. Como muestra la explicación de Quest, los registros pueden quedar en el entorno de un proveedor.
Pase a métodos de pago en los que nunca tenga datos de tarjetas
Si la introducción de la tarjeta se hace por completo en la página de un proveedor de pagos, ni los números de tarjeta ni los CVV llegan a su lado, así que no hay datos de tarjetas en su lado que puedan filtrarse. Además, reduce el alcance de PCI DSS.
Inventaríe lo que los proveedores guardan para usted y fije plazos de eliminación
Los registros afectados de Quest eran de antes de junio de 2025. Enumere lo que cada proveedor conserva para usted y hasta cuándo, y acuerde tanto en el contrato como en la operativa que se elimina cuando vence el plazo. Los principios se explican en la base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No se recoge el nombre del proveedor de servicios ni los métodos de ataque no revelados.
- Quest Apartment Hotels, «Statement from Quest Apartment Hotels» (19 de agosto de 2026) — newshub.medianet.com.au
- Página de actualizaciones de Quest Apartment Hotels (declaraciones oficiales del 21 de agosto y del 16 de septiembre, la declaración del 23 de septiembre sobre pasaportes y licencias de conducir, la alerta de estafa del 25 de septiembre y las preguntas frecuentes) — questapartments.com.au/update
- PCI Security Standards Council, FAQ 1280, «Can card verification codes/values be stored for card-on-file or recurring transactions?» — pcisecuritystandards.org
- PCI SSC, FAQ 1533, «Why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no PANs in an environment?» — pcisecuritystandards.org
- Glosario del PCI SSC, «Sensitive Authentication Data» y «Cardholder Data» — SAD / CHD
- Office of the Australian Information Commissioner (OAIC), «Respond to a data breach notification» — oaic.gov.au
- IDCARE — idcare.org / Scamwatch — scamwatch.gov.au / Australian Cyber Security Centre de la ASD — cyber.gov.au
Historial de actualizaciones
2026-09-30: Primera versión, basada en las declaraciones y preguntas frecuentes de Quest Apartment Hotels del 19 de agosto al 25 de septiembre de 2026, y en material público del PCI SSC, la OAIC y otras fuentes. La investigación de Quest continúa; actualizaremos este artículo si publica más información.
Lectura recomendada
- Otro incidente con reservas de alojamiento: El acceso a datos de reservas de Booking.com
- El estándar de tarjetas: ¿Qué es PCI DSS?
- Números de identidad filtrados en otros casos: Odido (Países Bajos: números de pasaporte y licencia) / AssuranceAmerica (EE. UU.: números de licencia de conducir) / Times Car (Japón: imágenes de licencias)
- Estafas que siguen a una filtración: ¿Qué es el phishing? / Dispositivos en viaje: Cómo proteger un portátil que lleva consigo
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y en el mundo)