Cuando se filtran tus datos de vuelo: lecciones de las brechas de la semana

Los titulares de filtraciones de la semana pasada dejan una lección para quien viaja a menudo. En su resumen del 23 al 29 de octubre de 2026, Privacy Guides informó de que Japan Airlines había revelado una filtración a través del sistema de servicio de pasajeros de Amadeus, la plataforma de reservas que comparten muchas aerolíneas y empresas de viajes. Esa misma semana, el proveedor de internet de Sony en Japón comunicó su propia brecha.

Qué se filtró

• Japan Airlines: unos 92.000 clientes tuvieron expuestos códigos de reserva (PNR), nombres, fechas de vuelo, rutas y clase; para unos 2.000 más, también correos, teléfonos, números de pasaporte, nacionalidades y números de viajero frecuente.
• Sony Network Communications: unos 2,5 millones de registros, con nombres, teléfonos, fechas de nacimiento e ID de usuario, además de 54.401 correos con las contraseñas de las cuentas. El ataque ocurrió el 19 de octubre y se detectó cuatro días después.
• Universidad de Copenhague: nombres, números de identidad nacional (CPR) y datos de contacto de 525.000 personas, además de 20.000 códigos PIN de acceso a edificios.

Como Amadeus da servicio a otras empresas de viajes, Privacy Guides prevé que más compañías hagan comunicados en las próximas semanas.

El correo de phishing más peligroso es el que ya conoce tu vuelo.

El manual familiar

Nada de esto exige pánico. Exige rutina. Un código de reserva, una ruta y una fecha bastan para redactar un mensaje creíble sobre un 'cambio en tu vuelo', y un número de pasaporte es materia prima para el fraude de identidad.

• Desconfía de cualquier mensaje sobre un viaje reciente o próximo; abre la app de la aerolínea o escribe tú la dirección en lugar de pulsar un enlace.
• Cambia cualquier contraseña reutilizada en un servicio afectado y pasa el correo y el banco a passkeys o a una app de autenticación.
• Añade un PIN o contraseña a las cuentas de viajero frecuente y comprueba que no se han movido millas.
• Si se filtró un PIN de acceso de oficina, edificio o colegio, pide que lo cambien: un código de puerta también es una contraseña.
• Guarda escaneos de los pasaportes de la familia en una bóveda cifrada para denunciar y reponer rápido.

La regulación avanza, despacio. La Cyber Resilience Act de la UE, en vigor desde noviembre de 2024, se aplicará plenamente desde el 11 de diciembre de 2027, con obligaciones de ciberseguridad para fabricantes de productos conectados y multas de hasta 15 millones de euros o el 2,5% de la facturación mundial. Hasta entonces, la rutina en casa depende de ti. Si crees que se ha usado tu identidad, contacta con tu banco y las autoridades competentes y consulta a un profesional cualificado.