Iberia ha denunciado ante la Unidad Central Operativa (UCO) de la Guardia Civil, la Agencia Española de Protección de Datos (AEPD) y el Instituto Nacional de Ciberseguridad (INCIBE) un “acceso externo no autorizado” a uno de sus almacenes de datos. Según la aerolínea, el repositorio comprometido pertenece a un proveedor externo, y la información contenida en él es “limitada y no operacional”, por lo que no afecta a sus sistemas de vuelo, pero sí ha confirmado que se han extraído datos personales como nombres, apellidos y direcciones de correo electrónico, así como, en una menor medida, teléfonos y números de afiliación a su programa Iberia Plus. No obstante, ha asegurado que no se han robado datos bancarios completos ni contraseñas de usuario, algo que minimiza el riesgo de consecuencias económicas graves.
Además, algunos códigos de reserva para vuelos futuros también han sido obtenidos por los atacantes. A pesar de ello, la compañía ha indicado que, por ahora, no hay evidencias de usos fraudulentos de dichos códigos. En respuesta al incidente, Iberia ha contactado con los clientes potencialmente afectados y ha reforzado sus medidas de seguridad. Una de las acciones más destacadas ha sido la implementación de autenticación de doble factor para que solo los usuarios legítimos puedan gestionar sus reservas por cualquier canal (web, app o call center).
Asimismo, la aerolínea ha habilitado un número de teléfono gratuito (900 111 500) para que los clientes reporten cualquier anomalía, sospecha o incidente relacionado con esta brecha. Iberia ha expresado su pesar por las molestias que este suceso pueda generar, reafirmando su compromiso de “poner todos los medios a su alcance para mitigar los efectos del incidente y evitar que vuelva a producirse”. Por su parte, las autoridades competentes —la UCO, la AEPD y el INCIBE— han iniciado una investigación para determinar el origen y el alcance real del ataque, así como las posibles responsabilidades legales y operativas que puedan derivarse.
