Mientras presume de puntualidad, Iberia ha tardado ocho días en avisar a sus clientes de que les habían robado sus datos para venderlos en la dark web

Iberia, principal aerolínea española, ha sufrido un supuesto ciberataque que ha comprometido datos internos de la compañía, además de personales de algunos de sus clientes. La filtración fue alertada por Daily Dark Web el 14 de noviembre: el medio especializado señalaba que un actor malicioso aseguraba la puesta en venta de 77 GB de datos internos de Iberia por 150.000 dólares en la dark web. 

La aerolínea comunicó esta brecha de seguridad a sus clientes una semana después. Esta misma primavera, Iberia presumió de ser la línea más puntual de Europa y la segunda del mundo, pero no ha sido precisamente rápida en informar de este hecho que compromete los datos de sus usuarios. 

"Podrían haberse filtrado datos como el nombre y apellidos, o correo electrónico"

Según Daily Dark Web, en base a un post publicado en un foro de compraventa de datos en la dark web, los datos filtrados son esencialmente internos de la compañía: programas confidenciales de mantenimiento de aeronaves para los modelos Airbus A320 y A321 (entre 2011 y 2025), volcados de bases de datos del sistema ACDATA de Airbus, configuraciones de aeronaves y documentos técnicos, el Certificado de Operador Aéreo oficial de Iberia Express, firmas digitales internas y documentos de aprobación o mapeos de componentes de aeronaves  y esquemas técnicos. 

En Motorpasión

Le va a salir muy caro a Aena usar reconocimiento facial para intentar acabar con la parte más insufrible de los aeropuertos: una multa de 10 millones por saltarse la protección de datos

Sin embargo, Iberia admite que también se han visto comprometidos datos de los usuarios. 

Nombres y correos, pero no a las tarjetas de crédito a salvo. En la comunicación, que comenzó a enviar a sus clientes desde el pasado sábado, reconoce que tienen "evidencia de un acceso no autorizado a ciertos datos personales de parte de nuestros clientes, entre los cuales se podrían encontrar algunos de los suyos. La investigación en el momento actual refleja que podrían haberse filtrado datos como el nombre y apellidos, o correo electrónico".

También afirman que "en ningún caso se han visto comprometidos sus datos de acceso a las cuentas de Iberia ni sus contraseñas ni han podido acceder a la información total de sus tarjetas bancarias y, por tanto, no son usables". Y que no no tienen constancia de que "se haya materializado ningún uso fraudulento de estos datos".

No obstante, instan a los clientes a tomar medidas como cambiar su correo electrónico asociado a su cuenta de Iberia. También que desde que han "tenido conocimiento del incidente" han activado " el protocolo y procedimientos de seguridad y adoptado todas las medidas técnicas y organizativas necesarias para contenerlo". Asimismo, ponen a disposición un teléfono y un correo electrónico para solventar dudas.

¿Y los 77 GB de datos internos de Iberia? Como detalla Escudo Digital, el envío de este comunicado a todos los clientes de Iberia es el protocolo de actuación en caso de ciberataque según dicta la normativa. Pero llama poderosamente la atención que se haya hecho ocho días después de que se hiciera pública la reclamación de los atacantes. Tampoco se sabe nada hasta el momento sobre la valiosa información expuesta de Iberia en la dark web. 

Si bien esta información es confidencial, y por tanto no están obligados a detallarla, cabe preguntarse si han actuado con la misma lentitud para confirmar el robo de datos y evaluar las posibles consecuencias que estos datos queden comprometidos. 

En Motorpasión

Ryanair ha convertido a sus empleados en la 'gestapo' de las maletas de mano: ahora va a pagarles aún más por cada equipaje que puedan cobrar

Transparencia, pero tarde. Respecto a cómo han accedido a estos datos, esta misma publicación señala que posiblemente sea a través del proveedor de Iberia, pues suele ser más sencillo para los atacantes que penetrar en el sistema de una gran compañía. En todo caso Iberia es el principal responsable: la normativa recoge que es la empresa contratante la que debe garantizar la seguridad de sus datos si el proveedor no puede garantizarlo.

Sea como fuere, este ataque demuestra que la seguridad digital incluso en grandes compañías continua siendo vulnerable. Como también que la transparencia con los clientes es clave y ha llegado una semana más tarde de que nombres, apellidos y correos electrónicos se vieran expuestos.

Imágenes | Iberia, Daily Dark Web en X

En Motorpasión | Volaba a 11.000 metros cuando algo destrozó el parabrisas del avión. El piloto dice que fue basura espacial