viajes
7 artículos con esta etiqueta
Acceso no autorizado a Club Tourism y posible filtración de datos personales (unos 4,32 millones de registros): qué deben hacer los socios con nombre, dirección, teléfono y contacto de emergencia
Club Tourism Co., Ltd. (Japón) anunció el 31 de octubre de 2026 que detectó un acceso no autorizado desde el exterior a las 5:45 del 30 de octubre y que la información de los socios de internet registrados en su sistema de reservas por internet puede haberse filtrado al exterior (primer informe). Los datos son nombre (kanji y kana), nacionalidad, sexo, fecha de nacimiento y edad, dirección, número de teléfono, dirección de correo electrónico, número de socio y contacto de emergencia. La cifra es de unos 4,32 millones de registros. Según la empresa, no se incluyen contraseñas de inicio de sesión, datos de pasaporte, datos de tarjetas de crédito ni números de cuentas bancarias. No se ven afectadas las personas que nunca se registraron como socios de internet, y no se ha confirmado ningún daño secundario concreto atribuido a este incidente. La empresa afirma que aisló el servidor, identificó y corrigió la vía de intrusión, ha detenido su sitio web para evitar más daños e investigar, consultó a la policía e informó a la Comisión de Protección de Información Personal y a su autoridad supervisora. Conclusión de este sitio: si alguien que dice ser la empresa le llama, le escribe o le envía un mensaje de texto, no use los enlaces ni los números del mensaje; compruébelo en el sitio oficial, en una sucursal o a través del contacto del aviso.
Acceso no autorizado a Rakuten Travel (hasta unos 2,6 millones de registros): nombres, datos de contacto y datos parciales de tarjetas de reservas de hoteles en el extranjero, y qué deben hacer los usuarios
El 26 de octubre de 2026, Rakuten Group, Inc. anunció que había confirmado un acceso no autorizado por parte de un tercero externo a algunas páginas del sitio de reservas de hoteles en el extranjero de Rakuten Travel, gestionado y operado por su filial Rakuten Travel Xchange, y al sitio de reservas multilingüe que opera Rakuten Group. En las páginas de reservas de hoteles en el extranjero (incidente 1), se detectó una anomalía el 10 de septiembre y la corrección del sistema se completó el 16 de septiembre. La información que fue objeto del acceso no autorizado abarca nombres, direcciones de correo, números de teléfono y números de identificación internos de hasta unos 2,6 millones de registros de clientes que iniciaron sesión y, para hasta unos 40.000 registros de clientes que reservaron, nombres, datos de contacto, país de residencia, datos de la reserva y nombres de los acompañantes; además, la información de pago (número de identificación del emisor de la tarjeta y últimos cuatro dígitos, nombre del titular, fecha de caducidad y marca de la tarjeta) de hasta unos 36.000 de ellos. No se incluyen los números completos de tarjeta, los códigos de seguridad, las contraseñas, los documentos de identidad ni las direcciones postales (según la nota del apartado de quienes reservaron). En el sitio de reservas multilingüe (incidente 2), detectado el 20 de octubre y corregido el 21 de octubre, se vieron afectados las direcciones de correo y los ID internos de hasta unos 860.000 registros de clientes que iniciaron sesión, y los nombres de cuenta y las direcciones de correo de hasta unos 40.000 registros de personal de alojamientos introducidos en la pantalla de administración. No se han anunciado la causa, el periodo abarcado ni ninguna compensación. Conclusión de este sitio: un mensaje que le pide volver a introducir su número de tarjeta o pagar no es auténtico solo porque acierte su reserva o los últimos cuatro dígitos de su tarjeta. No use los enlaces de correos ni de mensajes de texto; compruebe su reserva en la app de Rakuten Travel o en un sitio oficial guardado en marcadores.
Filtración de datos de skyticket (Adventure Inc.) (unos 14,64 millones de registros): contraseñas, datos bancarios de reembolso y datos de tarjetas de algunos usuarios expuestos. Qué deben hacer hoy los usuarios
El 9 de octubre de 2026, Adventure Inc. anunció tres incidentes de acceso no autorizado separados, cada uno por una vía distinta, que afectaron a su sitio de comparación y reserva de viajes skyticket. En el primero, se utilizó indebidamente una función administrativa como punto de partida para llegar a otros servidores y a datos almacenados en la nube; se filtraron unos 14,64 millones de registros, con nombres (también escritos como figuran en el pasaporte), fechas de nacimiento, direcciones de correo electrónico, números de teléfono, direcciones y el nombre del remitente usado en las transferencias bancarias, y unos 4,13 millones incluían contraseñas de socios con hash. En el segundo, se explotó una vulnerabilidad en un sistema de gestión empresarial, y 17.780 registros (incluidos duplicados, y se siguen contando) que contenían datos de cuentas bancarias de reembolso se filtraron o podrían haberse filtrado. En el tercero, una página de finalización de reservas de autobús podía mostrarse sin iniciar sesión, y unas 12.000 reservas fueron o podrían haber sido vistas. La empresa afirmó primero que los números de tarjeta no estaban entre los datos filtrados, pero lo corrigió en un segundo aviso del 16 de octubre: el número de tarjeta, el nombre del titular y la fecha de caducidad (en algunos casos, solo el número; sin códigos de seguridad) de hasta 6.140 personas que se registraron o usaron una tarjeta de crédito para pagar la cuota de la membresía «skyticket Premium» entre febrero de 2017 y junio de 2018 se filtraron en el primer incidente, junto con los ID de socio, nombres y contraseñas de un servicio de prestaciones sociales ofrecido como ventaja de Premium. No se expusieron imágenes de pasaportes y, a fecha del aviso del 9 de octubre, el único perjuicio secundario confirmado fue un acceso no autorizado a una cuenta de socio (el segundo aviso no indica si los datos de tarjetas filtrados han sido utilizados indebidamente). La opinión de este sitio: los socios deben cambiar hoy su contraseña desde el sitio o la aplicación oficial, cambiarla en todos los servicios donde la reutilizaron, revisar los extractos de la tarjeta a partir de octubre si se registraron o usaron una tarjeta para la cuota Premium en ese periodo, ignorar los mensajes sobre reembolsos, compensaciones o cambios de reserva, y no dar nunca a nadie el PIN bancario ni un código de un solo uso.
Acceso no autorizado a TEMAIRAZU (2026): guía para huéspedes y hoteles
El 28 de septiembre de 2026, Temairazu, Inc. anunció un acceso no autorizado a su TEMAIRAZU Series, un sistema que hoteles y ryokan usan para gestionar en un solo lugar reservas procedentes de muchas fuentes. Desde la noche del 21 de septiembre, los huéspedes de los alojamientos que usan el sistema empezaron a recibir mensajes sospechosos por aplicaciones de mensajería como WhatsApp, por correo electrónico y por SMS. Los mensajes parecían conocer los datos de la reserva y, con pretextos como el registro de entrada anticipado o mantener la reserva válida, llevaban a los destinatarios a sitios web externos para introducir datos de tarjeta o pagar. En su segundo informe del 7 de octubre (versión en inglés del 8 de octubre), la empresa enumeró la información que podría haber sido vista u obtenida por un tercero: nombres de huéspedes, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada, fechas de salida y cargos de alojamiento. No conserva información de tarjetas de crédito ni credenciales de acceso a los sitios de reserva. En una comunicación de información relevante a los inversores del 9 de octubre, situó el número de personas cuya información de reserva está implicada en hasta unos 4,45 millones y dijo que había encargado a una empresa externa de seguridad que investigara. Según los avisos de hoteles que usan el sistema, la causa fue un problema de seguridad en parte de un producto instalado que la empresa proporcionó en el pasado, corregido el 26 de septiembre. La opinión de este sitio: las personas que reservaron a través de webs de viajes también podrían verse afectadas. Si un mensaje que dice ser de su hotel le pide volver a introducir datos de tarjeta o pagar, no responda aunque los datos sean correctos, y compruebe a través de la aplicación oficial del sitio de reservas o del teléfono que figura en la web oficial del hotel.
Brecha de datos de reservas de Booking.com: cómo reconocer mensajes fraudulentos que se hacen pasar por tu alojamiento
En abril de 2026 Booking.com notificó a sus clientes que terceros no autorizados pudieron acceder a cierta información de reservas, actualizó los PIN de las reservas afectadas y dijo que había contenido el problema. Según la comunicación y lo que dijo un portavoz de la empresa a los medios, la información incluía datos de la reserva, nombres, direcciones de correo electrónico, números de teléfono y mensajes compartidos con los alojamientos; no se accedió a la información financiera. No se han publicado ni el número de afectados ni la causa. La conclusión de este sitio: que el mensaje acierte el nombre del hotel, la fecha y el precio ya no demuestra nada. La prueba es si lo que te piden coincide con la política de pago de la reserva que abres tú mismo en la app oficial. Rechaza cualquier petición de volver a introducir la tarjeta, pagar por un enlace o hacer una transferencia que no esté en la política.
Violación de datos de Manchester Airports Group (MAG) (2026): qué comprobar
En un comunicado fechado el 27 de agosto de 2026, Manchester Airports Group (MAG) afirmó que sufrió un incidente de ciberseguridad causado por un tercero no autorizado en agosto de 2026, y que se obtuvieron datos de clientes relacionados con reservas de aparcamiento, salas VIP y Fast Track, y con registros de Wi-Fi en los aeropuertos de Manchester, London Stansted y East Midlands. Los datos incluyen direcciones de correo electrónico, números de teléfono, matrículas de vehículos y códigos postales. MAG afirma que ni la empresa ni el sistema al que accedieron guardan datos bancarios ni de pago de los clientes. MAG afirma que, en el caso de las personas notificadas como afectadas, sus datos quedaron disponibles públicamente. Según informes de prensa, un portavoz de MAG cifró en unos 8,7 millones las personas afectadas. Los sistemas operativos del aeropuerto no se vieron implicados. La combinación de datos de contacto con una matrícula o un código postal puede hacer que un mensaje fraudulento resulte más convincente. Independientemente de lo que diga un mensaje sobre un «reembolso», un «problema con la reserva» o una «multa de aparcamiento», no siga su enlace; abra usted mismo la página oficial de Gestionar reserva del aeropuerto. MAG afirma que los cambios y cancelaciones en esa página son gratuitos.
Filtración de datos de Trenitalia: cómo protegerse de las estafas de reembolso por retraso
La operadora ferroviaria italiana Trenitalia envió a sus clientes un aviso en virtud del artículo 34 del RGPD en el que indica que un incidente de ciberseguridad causado por terceros no identificados dio lugar al acceso no autorizado a algunos datos personales vinculados a billetes de viaje (titoli di viaggio). Los avisos posteriores para billetes con control conjunto describen el suceso como el mismo que Trenitalia comunicó el 26 de junio de 2026. Los datos pueden incluir nombre, fecha y lugar de nacimiento, correo electrónico y número de teléfono, detalles del itinerario como trayecto, fecha, hora y número de billete, código de tarjeta de fidelización, empresa empleadora y datos del documento de identidad; el aviso relativo a los billetes regionales de UnicoCampania también enumera el código fiscal italiano (codice fiscale) y el sexo. Trenitalia afirma que no se vieron implicados los datos de acceso a cuentas, las contraseñas ni la información de pago. Notificó a la autoridad italiana de protección de datos (Garante) y a CSIRT Italia y presentó una denuncia penal ante la fiscalía de Roma. La opinión de este sitio: lo que se filtró es un itinerario (cuándo, dónde y en qué tren), y eso es precisamente lo que hace convincente un falso mensaje del tipo «su tren se retrasó, reclame su reembolso». La compensación real por retraso la solicita usted a través de los canales propios de Trenitalia o, en el caso de los billetes digitales regionales, se abona automáticamente a la tarjeta con la que compró el billete. Ningún reembolso legítimo le pide que introduzca el número de su tarjeta en un enlace recibido por mensaje de texto.