Expert Insight: violación de datos de easyJet
Estoy seguro de que ya ha oído hablar de la filtración de datos de easyJet. Más de 9 millones de clientes sufrieron una violación de la información de identificación personal (PII), y unos 2.000 clientes vieron los detalles de su tarjeta. Hugo van den Toorn, gerente de seguridad ofensiva en Outpost 24 advirtió que «a menudo, después de una infracción de este tipo, la información se venderá a mercados clandestinos, este tipo de datos se utiliza a menudo en varios ataques: detalles de tarjetas de crédito para realizar pagos ilícitos datos personales para ataques de phishing dirigidos ”. Los daños importantes que siguen a esta infracción probablemente darán lugar a fuertes multas reglamentarias y una pérdida sustancial de confianza entre easyJet y sus clientes. De hecho, según la legislación GDPR, la Oficina del Comisionado de Información (ICO) puede imponer una multa del 4% del volumen de negocios de easyJet en 2019, que podría ascender a 255 millones de libras.
Johan Lundgren, CEO de easyJet emitió una disculpa pública ayer, destacando el mayor riesgo que enfrentan los clientes en un panorama dominado por Estafas de phishing temáticas COVID-19. “Desde que nos enteramos del incidente, ha quedado claro que debido a Covid-19 existe una mayor preocupación por el uso de datos personales para estafas en línea. Como resultado, y por recomendación de la ICO, estamos contactando a aquellos clientes cuya información de viaje fue accedida y les estamos aconsejando que estén más atentos, particularmente si reciben comunicaciones no solicitadas ”.
Niamh Muldoon, director senior de confianza y seguridad de OneLogin señaló que “easyJet ha seguido los procedimientos correctos al notificar a los clientes afectados y advertir públicamente a los nueve millones de personas cuyas direcciones de correo electrónico han sido robadas”. Sin embargo, Muldoon planteó más problemas con los estándares de seguridad actuales, afirmando: «los atacantes saben que muchas organizaciones no están adoptando una postura lo suficientemente fuerte en lo que respecta a la seguridad del acceso». Este es un pensamiento del que se hace eco Felix Rosbach, gerente de producto de los especialistas en seguridad de datos comforte AG, quien dijo: “Las organizaciones que procesan datos PII deben adoptar un enfoque serio de la seguridad centrada en los datos. Hay métodos probados disponibles que pueden reducir el impacto de tales violaciones de datos ”. Desafortunadamente, easyJet no mostró una mentalidad centrada en los datos.
Rosbach continuó explicando cómo easyJet podría haber evitado esta infracción: “La tokenización es un gran ejemplo. Con este enfoque, todos los elementos de datos confidenciales se reemplazan por tokens. Eso significa que en el caso de una violación de datos, los datos no tienen valor para los atacantes ”. Chris Hauk, defensor de la privacidad del consumidor en Pixel Privacy enfatizó la afirmación de Rosbach al afirmar que «» Las violaciones de datos como la violación de EasyJet subrayan la necesidad de una mayor seguridad por parte de las corporaciones, así como una vigilancia constante por parte de los consumidores que deben trabajar para garantizar que no utilizan la misma información de inicio de sesión y contraseña en varios sitios web «.
La mayoría de los profesionales de la seguridad con los que hablamos tienen el mismo problema con la violación de easyJet. De hecho, Brian Higgins, especialista en seguridad de Comparitech.com, le dijo al gurú de seguridad de TI que “easyJet debería tener un plan integral de respuesta a incidentes para hacer frente a este ataque. Los próximos días nos mostrarán si ese es el caso, aunque cómo pueden asegurar a sus clientes que ‘no hay evidencia de que se haya utilizado indebidamente información personal de cualquier naturaleza’ muestra una ingenuidad preocupante ”. Desafortunadamente, esta ingenuidad terminará dañando la confianza entre easyJet y su base de clientes de vacaciones. Robert Ramsden-Board declaró que «los pasajeros deben confiar en que las aerolíneas están asegurando su información de identificación personal cuando reservan con ellos, pero una violación de esta magnitud rompe esa confianza».
Desafortunadamente, esta violación resultará en una cantidad significativa de estafas de phishing. Como dijo Ramsden-Board, «lo más probable es que veamos una serie de ataques de phishing dirigidos a los clientes de EasyJet en un futuro próximo, por lo que todos los clientes deben estar alerta ante cualquier actividad sospechosa».
Teniendo esto en cuenta, cualquier persona que haya utilizado easyJet en el pasado debe asegurarse de cambiar sus preferencias de seguridad y actualizar sus credenciales a una contraseña única para evitar daños personales adicionales.