Filtración de datos de skyticket (Adventure Inc.) (unos 14,64 millones de registros): contraseñas, datos bancarios de reembolso y datos de tarjetas de algunos usuarios expuestos. Qué deben hacer hoy los usuarios

En el primer incidente, unos 4,13 millones de contraseñas de acceso de socios se filtraron en forma de hash. El hash convierte una contraseña en una forma difícil de revertir, pero la propia empresa advierte de que las contraseñas podrían deducirse mediante análisis y usarse para accesos no autorizados (cómo funciona el hash: ¿Qué es el hash de contraseñas?).

La empresa pide a los socios que cambien su contraseña. Hágalo iniciando sesión en el sitio o la aplicación oficial de skyticket, no a través de un enlace en un correo. La empresa dice que sus correos no contienen ningún enlace que pida introducir una contraseña.

La empresa pide a quienes usan la misma contraseña en otros sitios que la cambien también allí. Una contraseña recuperada puede probarse junto con su dirección de correo en otras webs.

Empiece por las cuentas cuyo robo le causaría más daño: correo electrónico, banca en línea y tiendas en línea. Si no sabe dónde la reutilizó, consulte cómo comprobar si su contraseña se filtró y cómo elegir un gestor de contraseñas.

A 17 de octubre, los avisos de skyticket no dicen nada sobre la verificación en dos pasos. En los otros servicios que cambie, actívela si se ofrece (véase cómo elegir la autenticación multifactor).

Según el segundo aviso de la empresa del 16 de octubre, el número de tarjeta, el nombre del titular y la fecha de caducidad (en algunos casos, solo el número) de hasta 6.140 personas que se registraron o usaron una tarjeta de crédito para pagar la cuota de skyticket Premium en ese periodo se filtraron. No se incluyeron códigos de seguridad.

La empresa pide a esas personas que revisen los extractos de esa tarjeta desde octubre de 2026 en adelante. Una tarjeta renovada puede conservar el mismo número, así que revise también las tarjetas renovadas. Si ve algún cargo que no reconoce, aunque sea pequeño, póngase en contacto con el emisor de la tarjeta usando el número que aparece al reverso de la tarjeta. También puede consultar al emisor si no está seguro de si conviene que le reemitan la tarjeta.

La empresa dice que enviará correos a las personas afectadas cuyos datos de contacto pueda confirmar desde info@skyticket.com, pero que no puede responder preguntas individuales sobre si alguien está afectado. Para las personas cuyos datos de contacto no puede confirmar, el propio segundo aviso sirve como notificación. Si recuerda haberse registrado o haber usado una tarjeta para la cuota en ese periodo, revise sus extractos sin esperar a recibir un correo.

El segundo aviso dice que también se filtraron los ID de socio, nombres y contraseñas del servicio de prestaciones sociales (gestionado por otra empresa) ofrecido como ventaja de skyticket Premium. Estaban cifrados, pero también se obtuvo la información utilizada para el cifrado, por lo que podrían ser legibles.

La empresa pide a las personas que todavía usan ese servicio que cambien su contraseña, y dice que anunciará el procedimiento exacto tras consultarlo con el proveedor del servicio. Si usó la misma contraseña en otros servicios, cámbiela también allí.

La empresa pide a los usuarios que revisen el historial de reservas de su cuenta y los extractos de sus tarjetas de crédito. Aunque no esté en el grupo Premium mencionado arriba, si alguien accede a su cuenta, una tarjeta guardada podría usarse para reservar. Para evitarlo, la empresa suspendió los pagos con tarjetas guardadas y el guardado de tarjetas alrededor de las 18:00 del 7 de octubre.

Comunique las reservas que no reconozca al contacto de la empresa y los cargos desconocidos al emisor de su tarjeta. La empresa dice que confirmó un acceso no autorizado a una cuenta de socio el 9 de septiembre.

La empresa advierte de que pueden llegar correos electrónicos, mensajes de texto, llamadas y cartas que se hagan pasar por la empresa, bancos, aerolíneas, operadores de autobús, emisores de tarjetas o el servicio de prestaciones sociales. Con nombres, fechas de nacimiento, números de teléfono y direcciones expuestos, esos mensajes pueden resultar muy convincentes.

La empresa dice que nunca pedirá ningún pago en relación con este incidente. Trate como falso cualquier mensaje que le pida transferir dinero, pagar una tasa o instalar una aplicación en nombre de un reembolso o una compensación. La empresa dice que nunca pedirá por correo, mensaje de texto o teléfono un número de tarjeta, fecha de caducidad, código de seguridad o contraseña, ni le pedirá introducir datos de tarjeta a través de un enlace en un correo. No use los enlaces ni los números de teléfono que aparezcan en él; compruebe a través del sitio oficial que usted mismo abra (véase ¿Qué es el phishing?).

Los correos que la empresa envía desde el 8 de octubre proceden de info@skyticket.com, en cuatro variantes de asunto que empiezan por «【重要】不正アクセスによるお客様情報» (en español: «[Importante] Información de clientes por acceso no autorizado»), con una línea en inglés como «[Important] Apology for Information Leak Due to Unauthorized Access». La empresa dice que el correo procedente de cualquier otra dirección, o el que le pida introducir una contraseña, puede ser falso.

En el segundo incidente, los datos bancarios de reembolso (nombre del banco, sucursal, tipo de cuenta, número de cuenta y nombre del titular) se filtraron o podrían haberse filtrado. La empresa dice que esta información por sí sola no permite a nadie retirar dinero de inmediato.

El peligro es un contacto que se hace pasar por un proceso de reembolso para obtener su PIN o su ID y contraseña de banca en línea. La Asociación de Bancos de Japón dice que nunca pide a los clientes su PIN ni sus contraseñas, y la Agencia Nacional de Policía de Japón afirma que los agentes nunca piden el PIN por teléfono. Lo mismo vale para las contraseñas de un solo uso: no las dé por teléfono ni por mensaje de texto.

Revise su libreta bancaria o su aplicación del banco por si hay operaciones que no reconozca, y póngase en contacto con su banco si encuentra alguna. No hemos encontrado ninguna guía oficial que diga que la cuenta deba reemplazarse solo porque se filtró el número. Si le preocupa, llame a su banco usando el número de su tarjeta o el de su sitio oficial.

En el tercer incidente, la página de finalización de reservas de autobús podía mostrarse sin iniciar sesión entre el 3 de agosto y el 1 de octubre de 2026. La fecha y hora del viaje, los puntos de subida y bajada, el operador, el nombre del servicio y el número de reserva del operador estaban entre los datos vistos.

La empresa advierte de que alguien con esta información puede hacerse pasar por la empresa o por el operador del autobús y pedirle que cambie o cancele la reserva o que pague un suplemento. Puede consultar o cancelar reservas las 24 horas en «予約確認» (confirmación de reserva, en japonés) dentro de su cuenta. Si una reserva se cambió o canceló sin su conocimiento, póngase en contacto con la empresa.

El 13 de octubre, la empresa abrió una línea telefónica específica, 03-5224-8859 (de lunes a viernes de 10:00 a 18:00, hora de Japón, en japonés). El contacto por correo es info@skyticket.com (se acepta las 24 horas y se responde por orden de llegada); se indica una dirección aparte para socios comerciales y agencias. A 10 de octubre, la empresa había dicho que las consultas eran muy numerosas, que era difícil contactar por teléfono y que las respuestas por correo se retrasaban. Confirme el número en el aviso oficial que usted mismo abra, no en un correo o mensaje que haya recibido. Mientras espera, haga lo que esté en su mano, como cambiar la contraseña.

La empresa dice que la página de finalización del tercer incidente podía mostrarse sin iniciar sesión y que un tercero la vio de forma automatizada durante ese periodo (del 3 de agosto al 1 de octubre). Las páginas de finalización y las enlazadas desde los correos de confirmación reúnen en un solo lugar nombres, datos de contacto y números de reserva.

Compruebe si la página verifica quién la consulta. Exija inicio de sesión o, si debe funcionar sin él, incluya en la URL una cadena larga y no adivinable y establezca una caducidad. En general, si cambiar un número de la URL muestra la reserva de otra persona, se trata de un fallo clásico llamado IDOR (contexto: autenticación frente a autorización).

«Vista de forma automatizada» significa muchas más peticiones de las que haría una persona. En una página como la de finalización de reserva, que una persona rara vez necesita abrir de forma repetida, limite el número de visualizaciones por origen y avise a alguien cuando se alcance el límite.

Puede medirlo en la aplicación o delante de ella, en el servidor web o en la CDN (red de distribución de contenido). Cómo empezar se explica en limitación de tasa y control de abusos.

Después de que se filtraran hashes de contraseñas, la empresa suspendió el pago con tarjetas guardadas. Si una cuenta secuestrada puede pagar con una tarjeta guardada, pueden producirse compras fraudulentas aunque nunca se haya filtrado un número de tarjeta.

Compruebe de antemano si su sitio puede desactivar por sí mismo el pago con tarjeta guardada, o exigir la autenticación del emisor de la tarjeta (3-D Secure) en cada pago. Si no existe ningún interruptor, lo estará construyendo el día del incidente.

La empresa dice que en julio de 2018 pasó a un método en el que no conserva los datos de tarjeta y que entonces eliminó esos datos, pero los registros de pago (logs) de la cuota se mantuvieron y se obtuvieron en esta ocasión.

En general, al migrar, enumere todos los lugares donde se escribieron los mismos datos, no solo la base de datos principal: logs, copias de seguridad, archivos exportados y servidores antiguos. Confirme que cada uno se ha limpiado y lleve un registro. La empresa dice que también se obtuvo la información utilizada para el cifrado, por lo que los datos podrían ser legibles, pero no ha dicho dónde se guardaba esa información. Como criterio general, si almacena datos cifrados, no guarde la clave de descifrado en el mismo lugar que los datos. Si ambos se obtienen juntos, el cifrado no ofrece protección.

El segundo incidente afectó a datos bancarios de reembolso guardados en un sistema de gestión empresarial. Un reembolso suele ser un proceso puntual, así que decida cuánto tiempo conservar los datos bancarios una vez completado el reembolso, y elimínelos automáticamente cuando llegue ese plazo. Los datos que ya no se conservan no pueden filtrarse.