Los datos personales de más de 106 millones de viajeros internacionales a Tailandia quedaron expuestos en la web sin contraseña alguna, según informan los investigadores de Comparitech. La base de datos incluía nombres completos, números de pasaporte, fechas de llegada, etc.
Bob Diachenko, que dirige la investigación sobre ciberseguridad de Comparitech, descubrió la base de datos el 22 de agosto de 2021 y alertó inmediatamente a las autoridades tailandesas, que reconocieron el incidente y aseguraron los datos al día siguiente.
La base de datos Elasticsearch tenía un total de unos 200 GB y contenía varios activos, incluyendo una colección de más de 106 millones de registros, cada uno de los cuales incluía parte o toda la siguiente información
- Fecha de llegada a Tailandia
- Nombre completo
- Sexo
- Número de pasaporte
- Estado de residencia
- Tipo de visado
- Número de tarjeta de llegada a Tailandia
Tal y como explica Miguel Ángel Rojo, CEO de BOTECH, «actualmente son muchas las grandes compañías del sector turístico que comienzan a ser conscientes de la necesidad de proteger los datos de sus clientes. Este sector se ha convertido en uno de los objetivos favoritos de las mafias de cibercrimen organizado debido al gran volumen de datos que manejan y, por lo general, a las bajas medidas de seguridad de las que disponen para proteger esta valiosa información personal y bancaria de millones de clientes. La concienciación adquiere un papel clave. Invertir en ciberseguridad ya no es una opción, es una obligación para evitar sucesos como éste ya que, lamentablemente, el riesgo cero no existe.”
Cualquier extranjero que haya viajado a Tailandia en la última década probablemente tenga un registro en esta base de datos. .
Eso sí, ninguna de las informaciones expuestas supone una amenaza económica directa para la mayoría de los interesados. No se incluyó ninguna información financiera o de contacto.
Aunque los números de pasaporte son únicos para las personas, se asignan de forma secuencial y no son especialmente sensibles. Por ejemplo, un número de pasaporte no puede utilizarse para abrir cuentas bancarias o viajar en nombre de otra persona por sí solo.
¿Cómo pueden las empresas turísticas defenderse de los ciberataques?
