Los sistemas de reserva de la mayoría de los hoteles exponen datos de usuarios

RECOMENDADOS: Tecnologías que dan al dato el protagonismo que merece (WEBINAR)  Cinco retos de la innovación en cloud Informe IT Trends 2019: La realidad digital de la empresa española Mejores prácticas para implementar una plataforma ágil Robo de credenciales: prioriza la seguridad de tus apps Instalación de Redes WiFi y LAN en Hoteles

Dos de cada tres páginas de hoteles filtran sin darse cuenta detalles de reservas y datos personales a otros sites, incluidos publicitarios y empresas de analítica. Lo asegura Candid Wueest, investigador de Symantec que ha analizado las páginas web utilizadas por 1.500 hoteles de 54 países.

La principal conclusión es que dos de cada tres páginas web de hoteles filtran datos, que van desde el nombre completo, dirección de correo electrónico, dirección postal, número de teléfono, detalles de tarjetas de crédito o número de pasaportes. El problema no sólo afecta a hoteles modestos.

El problema está relacionado con los correos electrónicos de confirmación enviados por algunos hoteles a los clientes cuando se realiza una reserva. Dichos mensajes incluyen un enlace que lleva al cliente directamente a la reserva en el sitio web del hotel, sin que tengan que iniciar sesión manualmente.

Explica el investigador en el post que las URL enviadas por el 67% de los 1,500 hoteles incluyen el código de referencia de la reserva y la dirección de correo electrónico del usuario, además de contenidos de terceras empresas, como anunciantes, servicios de análisis, motores de búsqueda y redes sociales. A estos servicios se les proporciona la URL de acceso directo, que les permite a los usuarios internos o malintencionados acceder a las reservas de los usuarios, ver sus datos personales e incluso cancelar su reserva.

Explica también Candid Wueest que el 29% de los sitios de hoteles no cifró el enlace inicial enviado en el correo electrónico que contenía la identificación. “Esto significa que un atacante potencial podría interceptar las credenciales del cliente que hace clic en el enlace HTTP en el correo electrónico”, dice en analista de Symantec.