¿Qué es el formjacking?

AirEuropa sufría ayer un ciberataque que le obligaba a alertar a sus clientes para que cancelaran las tarjetas de crédito con las que hubieran hecho alguna compra a la aerolínea. Los delincuentes podrían haber accedido a datos no autorizados de las cuentas como el número de la tarjeta, la fecha de caducidad o su CVV.  La compañía avisaba inmediatamente a sus usuarios y les informaba de que habían puesto en marcha la maquinaria necesaria para frenar el ataque. Además, INCIBE (Instituto Nacional de Ciberseguridad), AEPD (Agencia Española de Protección de Datos) o las entidades financieras tenían conocimiento de lo ocurrido de forma inmediata. Asimismo la aerolínea informaba de que los ciberdelincuentes no habían logrado acceder a datos personales, solo a los datos numéricos de sus tarjetas. 

Luis Corrons, security evangelist de la compañía Avast, apunta a que puede tratarse de un ataque tipo “formjacking” o también llamado “magecart” por el grupo que comenzó a popularizar este tipo de asalto. Se trata de un ataque en el que los ciberdelincuentes colocan un código malicioso en una web que podrá interceptar y copiar la información que introduzca el usuario. De hecho, Luis Corrons recuerda que no es la primera vez que este tipo de ataque afecta a una aerolínea: “Este tipo de ataque ha afectado a numerosas empresas y ha expuesto datos sensibles de consumidores en los últimos años, siendo uno de los más sonados el que sufrió otra compañía aérea, British Airways”

Qué deben hacer los afectados

Desde Avast explican que los afectados por el momento tendrán que cancelar las tarjetas afectadas para evitar que se haga de ellas un uso fraudulento después del acceso a sus datos por parte de los delincuentes. Por otro lado, deben revisar sus extractos bancarios para comprobar que no se ha hecho ningún cargo ni operación fraudulenta y, si la hubiera, deben avisar a su entidad bancaria y las autoridades para denunciar la situación. 

AirEuropa no es la única compañía que se ha enfrentado a una situación de este tipo. Según el último Balance de ciberseguridad de INCIBE, en 2022 se gestionaron más de 118.820 incidentes, un 8,8% más que en el año anterior. Además, un 38,08% de dichos ataques fueron de “peligrosidad alta”. Empresas como Orange o el servicio de empleo SEPE, también se han visto afectadas en los últimos años por cuestiones parecidas. En el caso de Orange, fue su base de datos la que quedó vulnerada y dio como resultado la exposición de información de algunos de sus clientes. El SEPE sufrió un ataque de ransomware por el que su web quedó inutilizada, aunque los atacantes no pidieron ningún rescate. En todo caso, AirEuropa fue multada hace dos años por AEPD con 600.00 euros por un ciberataque que habían sufrido tres años antes en el que quedó expuesta información personal y bancaria de sus clientes.