Seguridad · 12 de noviembre de 2026
También publicado en Deutsch, English, Português (Brasil), 日本語
Plataforma de viajes sufre dos brechas de seguridad que exponen información personal de clientes y guías
Una plataforma de reservas de viajes confirmó dos incidentes de seguridad separados que resultaron en la exposición de información personal de clientes y guías. El primero fue causado por un ataque externo que explotó vulnerabilidades en el servicio, mientras que el segundo fue resultado de un error de desarrollo en la página de reseñas.
En el ataque externo, un atacante se registró como miembro el 4 de noviembre de 2026 alrededor de las 3:30 de la tarde y luego explotó vulnerabilidades de seguridad para acceder sin autorización a información de otros clientes y guías. Los datos expuestos de clientes incluyen nombre, correo electrónico, número de teléfono, información de viajeros ingresada al momento de la reserva, apellido, nombre, edad y sexo de acompañantes, monto pagado, nombre del producto, fecha de viaje e información de cantidad de personas. Algunos clientes también tuvieron expuestos archivos de comprobantes y contenido de conversaciones con el centro de atención al cliente. La información de guías incluye nombre, apodo, fotografía, descripción, respuestas de entrevista, y en algunos casos correo electrónico, número de teléfono e identificador de aplicación de mensajería.
Como resultado del mismo ataque, algunos pedidos recibieron solicitudes de cancelación no solicitadas por los clientes. La empresa restauró todos esos pedidos el mismo día del incidente, sin cambios en los pagos ni reembolsos. La compañía bloqueó el acceso del atacante y las rutas de exposición el mismo día que detectó el problema, y reportó el incidente a las autoridades competentes.
El segundo incidente involucra un error de desarrollo en la página de reseñas donde información de reservas conectada a reseñas no se mostraba en la pantalla pero estaba incluida en los datos de la página, haciéndola accesible a visitantes y motores de búsqueda. Este error estuvo presente desde el 6 de noviembre de 2024 hasta el 4 de noviembre de 2026. Los números de teléfono de quienes hicieron reservas se incluyeron a partir del 13 de noviembre de 2024, mientras que nombres de autores de reseñas e información de contacto y comercial de vendedores se expusieron hasta el 5 de noviembre de 2026. Los datos expuestos incluyen nombre completo del reservante, correo electrónico, número de teléfono, nombre del viajero principal, sexo, número de teléfono, producto reservado, opciones, fecha del tour, cantidad de personas, lugar de recogida, monto pagado, nombre, edad y sexo de acompañantes, así como información comercial de vendedores.
La empresa confirmó que números de identificación nacional, números de pasaporte, fechas de nacimiento, números de tarjeta de crédito, números de cuenta bancaria y contraseñas no fueron expuestos. No divulgó el número total de personas afectadas ni cuánta superposición existe entre los dos incidentes. La compañía advirtió a los usuarios que tengan cuidado con contactos que se hagan pasar por la plataforma, guías o agencias de viajes solicitando pagos adicionales, transferencias bancarias o información personal.