Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de British Airways
Filtración de datos de British Airways
En 2018, British Airways (BA) sufrió un gran ciberataque que expuso los datos personales y financieros de cientos de miles de clientes. Los atacantes usaron una técnica de robo de datos de tarjetas (card skimming) para extraer información directamente del sitio web y la aplicación móvil de la aerolínea. Esta filtración generó una multa importante por el GDPR y evidenció la creciente amenaza de los ataques a la cadena de suministro basados en la web.
Filtración de datos de British Airways explicada: ¿qué pasó?
La filtración de datos de British Airways fue un ciberataque sofisticado en el que actores de amenazas comprometieron el sitio web de BA. Inyectaron código malicioso que robaba los datos de las tarjetas de pago de los clientes en tiempo real mientras hacían reservas. Descubierta en septiembre de 2018, la filtración expuso información personal y financiera sensible, y derivó en una de las multas más grandes impuestas bajo el GDPR en ese momento.
¿Cuándo ocurrió la filtración de datos de British Airways?
El ataque se extendió durante 15 días, del 21 de agosto de 2018 al 5 de septiembre de 2018. British Airways divulgó públicamente la filtración el 6 de septiembre de 2018, poco después de descubrir la actividad maliciosa en sus sistemas.
¿Quién hackeó a British Airways?
El ataque fue atribuido a Magecart, un conocido grupo de ciberdelincuencia especializado en el robo digital de datos de tarjetas de crédito. Los grupos Magecart son conocidos por atacar carritos de compra en línea y páginas de pago inyectando JavaScript malicioso para robar datos de los clientes. Han afectado a numerosos sitios de comercio electrónico de alto perfil, y el ataque a BA sigue siendo una de sus operaciones más significativas.
¿Cómo ocurrió la filtración de British Airways?
Los atacantes obtuvieron acceso a la red de British Airways mediante credenciales comprometidas del sistema de un proveedor externo. A partir de ahí, lograron modificar un archivo JavaScript clave en el sitio web de BA, una táctica clásica de Magecart. Este script malicioso fue diseñado para capturar los datos de los clientes en la página de pago y enviarlos directamente a un servidor controlado por los atacantes.
Cronología de la filtración de datos de British Airways
21 de agosto de 2018: Los atacantes inyectan código malicioso en el sitio web y la aplicación móvil de British Airways, dando inicio a la campaña de robo de datos.
5 de septiembre de 2018: Un investigador de seguridad externo notifica a British Airways sobre la actividad maliciosa. Los equipos internos de BA confirman la filtración y eliminan el código.
6 de septiembre de 2018: British Airways divulga públicamente la filtración de datos, comienza a notificar a los clientes afectados y se comunica con las autoridades correspondientes.
Octubre de 2020: La Oficina del Comisionado de Información del Reino Unido (ICO) emite una multa final de £20 millones por violaciones del GDPR relacionadas con la filtración.
Detalles técnicos
El núcleo del ataque fue la modificación de la biblioteca JavaScript Modernizr.js en el sitio web de British Airways. Los atacantes agregaron solo 22 líneas de código malicioso a este archivo legítimo. Este código estaba diseñado para activarse en la página de confirmación de pago, donde extraía los campos del formulario que contenían nombres, direcciones y datos completos de tarjetas de crédito (incluidos los números CVV). Los datos capturados luego se exfiltraban a un servidor en baways.com, un dominio creado por los atacantes para imitar el sitio real de BA.
Indicadores de compromiso (IoC)
Los principales IoC asociados con la filtración de British Airways incluyen:
Dominio malicioso: baways.com
Script malicioso: Una versión modificada de Modernizr.js que contenía código de robo de datos.
Vector de ataque: Compromiso de las credenciales de un proveedor externo que derivó en acceso no autorizado y modificación del código del sitio web.
Investigación forense y del incidente
Las investigaciones realizadas por el ICO del Reino Unido determinaron que British Airways no había implementado medidas de seguridad adecuadas para proteger su red y los datos de los clientes. La investigación reveló deficiencias de seguridad en varios frentes, incluida una autenticación multifactor limitada, falta de pruebas rigurosas en los sistemas críticos del negocio y protección insuficiente de la red en general. Estas fallas permitieron a los atacantes obtener acceso inicial y permanecer sin ser detectados durante más de dos semanas.
¿Qué datos se vieron comprometidos en la filtración de British Airways?
La filtración expuso una cantidad significativa de información sensible. Los atacantes se enfocaron específicamente en los datos ingresados durante el proceso de reserva. Los datos comprometidos incluyeron:
Información de identificación personal (PII): Nombres completos, direcciones de facturación y direcciones de correo electrónico.
Información financiera: Números de tarjetas de crédito, fechas de vencimiento y códigos CVV.
Cabe destacar que los datos de viaje y de pasaporte no se vieron afectados. Los datos se exfiltraron directamente del sitio web y no estaban cifrados en el momento del robo.
¿Cuántas personas se vieron afectadas por la filtración de datos de British Airways?
La filtración afectó a aproximadamente 429.000 clientes y empleados. Esta cifra incluye a las personas que hicieron reservas en el sitio web y la aplicación móvil de BA durante los 15 días que duró el ataque.
¿Se expusieron mis datos en la filtración de British Airways?
British Airways notificó directamente a todos los clientes que identificó como afectados por la filtración. Si hiciste una reserva entre el 21 de agosto y el 5 de septiembre de 2018 y no recibiste una notificación, es probable que tus datos no se hayan visto comprometidos. La aerolínea recomendó a las personas afectadas contactar a sus bancos o proveedores de tarjetas de crédito para recibir orientación sobre cómo monitorear sus cuentas ante actividad sospechosa.
Impactos clave de la filtración de British Airways
Las consecuencias de esta filtración fueron enormes y afectaron a BA en múltiples frentes.
Pérdida financiera: La ICO inicialmente tenía la intención de multar a British Airways con £183 millones, pero esta cifra se redujo luego a £20 millones debido al impacto económico de la pandemia de COVID-19. La empresa también enfrentó costos relacionados con la compensación a clientes y honorarios legales.
Daño reputacional: La filtración dañó gravemente la confianza de los clientes. Que la aerolínea de bandera del Reino Unido no protegiera los datos de pago generó una amplia cobertura negativa y una fuerte reacción pública.
Escrutinio regulatorio: El incidente se convirtió en un caso emblemático para la aplicación del GDPR, y demostró las graves consecuencias financieras de no proteger los datos de los clientes.
Respuesta a la filtración de datos de British Airways
British Airways actuó con rapidez una vez descubierta la filtración. La respuesta de la aerolínea incluyó:
Eliminar de inmediato el código malicioso de su sitio web.
Iniciar una investigación completa con ayuda de expertos en ciberseguridad.
Notificar a los clientes afectados y aconsejarles tomar medidas de protección.
Coordinarse con las fuerzas del orden y el National Cyber Security Centre (NCSC).
Pedir disculpas públicamente y ofrecer reembolsar a los clientes por cualquier pérdida financiera.
Lecciones de la filtración de datos de British Airways
Este incidente ofrece lecciones aprendidas de la manera más difícil para cualquier organización con presencia en línea.
El riesgo de terceros es tu riesgo: Las credenciales comprometidas de un proveedor fueron el punto de entrada. Debes exigir a tus socios los mismos estándares de seguridad que te exiges a ti mismo. ¡Evalúa a tus proveedores!
El web skimming es una amenaza importante: Los atacantes están apuntando directamente a los sitios web. Monitorear regularmente tus activos web en busca de cambios no autorizados no es negociable.
La higiene básica de seguridad es fundamental: La ICO señaló la falta de autenticación multifactor (MFA) y otros controles básicos. Dominar los fundamentos puede prevenir una filtración catastrófica. No te saltes lo básico.
El GDPR tiene dientes: La multa masiva, incluso después de reducirse, demostró que los reguladores se toman en serio la protección de datos y penalizarán severamente el incumplimiento.
¿Es segura British Airways después de la filtración?
Tras la filtración, British Airways implementó mejoras de seguridad "considerables". La empresa trabajó con expertos en ciberseguridad para renovar sus protocolos de seguridad, mejorar sus capacidades de monitoreo y fortalecer los controles de acceso para prevenir un incidente similar. Aunque ninguna organización puede ser 100% inmune a un ataque, BA tomó medidas importantes para fortalecer sus defensas.
Estrategias de mitigación y prevención
No dejes que lo que le pasó a BA te pase a ti. Aquí hay algunos pasos prácticos para defenderte de ataques similares de web skimming:
Exige autenticación multifactor (MFA): Implementa la MFA en todos los sistemas críticos, especialmente para el acceso remoto y las cuentas de terceros.
Monitorea tus activos web: Usa monitoreo de la integridad de archivos y otras herramientas para detectar cambios no autorizados en el código de tu sitio web, especialmente en archivos JavaScript críticos.
Aplica parches a todo, siempre: Mantén todos los sistemas, software y aplicaciones actualizados con los últimos parches de seguridad para cerrar vulnerabilidades conocidas.
Implementa un SIEM: Usa una solución de Security Information and Event Management (SIEM) para obtener visibilidad de tu red y detectar actividad sospechosa en tiempo real.
Evalúa tu cadena de suministro: Analiza las prácticas de seguridad de todos los proveedores externos con acceso a tu red o datos.
Incidentes de brechas de datos relacionados
MOVEit
Okta
MGM Resorts
Preguntas frecuentes sobre la filtración de datos de British Airways
La filtración ocurrió cuando atacantes, atribuidos al grupo Magecart, inyectaron código malicioso en el sitio web de British Airways. Este código robaba los datos de pago de los clientes directamente desde la página de reservas. Los atacantes obtuvieron el acceso inicial usando credenciales comprometidas de un proveedor externo.
El ataque expuso información personal y financiera sensible de aproximadamente 429.000 clientes. Esto incluyó nombres completos, direcciones de facturación, direcciones de correo electrónico y datos completos de tarjetas de crédito, incluidos números de tarjeta, fechas de vencimiento y códigos CVV.
El grupo de cibercrimen conocido como Magecart fue el responsable del ataque. Este grupo es conocido por atacar sitios web de comercio electrónico y pagos con malware de robo de datos de tarjetas (card-skimming) para robar información financiera a gran escala.
Las empresas pueden prevenir ataques similares exigiendo controles de acceso estrictos con autenticación multifactor (MFA) y monitoreando regularmente el código del sitio web en busca de cambios no autorizados. También es fundamental gestionar el riesgo de terceros evaluando a los proveedores y limitando su acceso solo a lo necesario.
