Registro de reservas: perder ciberseguridad para ganar seguridad

Este nuevo control impuesto por el Ministerio de Interior, correspondiente al Real Decreto 933/2021, se pondrá en marcha tras dos retrasos el 2 de diciembre, a pesar de las reiteradas peticiones de exención por parte de las agencias de viajes -aunque también afectará a hoteles, alquiler turístico y rent-a-car-, que han llegado a lanzar un SOS al Ministerio de Industria y Turismo y a las Comunidad Autónomas, que aún se desconoce qué efecto tendrá.

Fugas de datos

"El problema es que vamos a ver muchos más datos informáticos almacenados en muchas más compañías, y esto va a multiplicar el riesgo, porque no todas las empresas protegen igual sus datos", ha manifestado Eusebio Nieva, director técnico de Check Point Software para España y Portugal, quien ha destacado que los requerimientos de Interior incluyen información dato personales y financieros de todos lo clientes.

La seguridad de los datos de los clientes de las agencias de viajes puede quedar comprometida. Fuente: IA / Hosteltur

Y, como al mismo tiempo que grandes compañías como cadenas hoteleras o turoperadores, o redes de agencias de viajes, en el sector turístico conviven numerosas pequeñas empresas, como pequeños hoteles o casas rurales, o autónomos de la distribución de viajes, las posibilidades de que se produzcan fugas de datos son prácticamente infinitas, cuando finalmente se ponga en marcha el registro: "si llegamos a ese extremo, van a ser vulnerables".

Más seguridad, menos ciberseguridad

Entonces, ¿estamos arriesgando la ciberseguridad para para velar por la seguridad? "Es un riesgo muy directo, hay más probabilidades de que nuestros datos acaben en malas manos", ha asegurado el experto. Y se concretarían así: "phishing al dueño de los datos o a un empleado, para obtener sus claves y, a partir de ahí entrar. O incluso, si están en una página web poco protegida, entrarían directamente en ella. Los tipos de ataques no cambian".

"Los datos se venden en la dark web para usarlos en contra de los usuarios, pueden incluir detalles tan sensibles como la foto del DNI. Y pueden llegar a emplearse en extorsiones"

Aquí cabe puntualizar que el registro de reservas del Ministerio de Interior reclama a los agentes que les soliciten a sus clientes un total de 54 datos -63 si son rent-a-car- para realizar las reservas, y según la consideración del director técnico de Check Point, "si tener los datos normales facilita el ciberataque, tener datos más detallados hace que se pueda realizar directamente", con lo cual, el peligro crece.

Pero, para dimensionar correctamente el peligro, primero hay que evaluar la plataforma tecnológica donde se integrarán los datos, que en este caso es Hospedajes, y luego los recursos de las empresas que los recogerán, gestionarán y almacenarán durante tres años, es una obligación legal. El acceso al sistema desarrollado por Interior se realiza mediante la plataforma cl@ve, o bien, con el certificado digital de la empresa. Alternativamente, los hoteles están más integrados con el sistema gracias a sus aplicaciones PMS de gestión de archivos.

Dónde residen las vulnerabilidades

"Desde el punto de vista de control de acceso a ses.hospedajes, la seguridad es excelente ya que se apoya en un sistema de múltiple factor de autenticación como cl@ve, dotado de un sistema muy avanzado y fiable. Ahora bien, ¿estamos libres de posibles ataques con el uso de este sistema? Por supuesto que no. Así lo ha asegurado Xavier Ferretjans, experto en ciberseguridad de Binaura Monlex.

"El múltiple factor de autenticación es vulnerable a ataques de ingeniería social o teléfonos móviles de usuarios que ya se encuentran comprometidos"

Entonces, ¿es segura la plataforma Hospedajes? "Nada nos hace pensar que no cumpla con estándares como el Esquema Nacional de Seguridad, de obligado cumplimiento por la administración pública desde el año 2010. En cuanto a los servidores de las agencias de viajes, hoteles y empresas de alquiler de coches, dependerá de su capacidad de dotar seguridad a sus sistemas de información", ha señalado el técnico.

Antecedente de ciberataques en la hostelería

Y continúa: "si vamos a las cifras de ataques a pymes de los últimos años, diría que no están seguras. Es más, si vemos los ciberataques que se han efectuado contra el sector de la hostelería en 2022 y 2023, estamos ante uno de los sectores más castigados y buscados por los cibercriminales. Añadimos que entre toda la información que se solicita en el Real Decreto 933/2021, como datos identificativos, parentesco, contactos, etc., están datos de las transacciones realizadas", como el número de cuenta bancaria o datos de tarjeta de crédito.

Ante esta situación el experto en ciberseguridad afirma que "el botín es mayor y por tanto el riesgo de sufrir ciberataques aumenta irremediablemente"

Y, ¿qué dice el sector afectado sobre los eventuales riesgos para la ciberseguridad?: "desafortunadamente, se ha podido comprobar en los últimos años que, cualquier registro informático de datos personales, puede ser objeto de un ataque cibernético, pese a que se pongan en marcha las mayores medidas de ciberseguridad posibles", ha manifestado Ana Barluenga, directora del Área Jurídica de la Confederación Española de Agencias de Viajes (CEAV).

Más informaciones relacionadas con el registro de reservas:

- Registro de reservas: las agencias lanzan un SOS a Hereu y autonomías

- Registro de reservas: ¿cuántos datos deberán aportar los consumidores?

- Registro de datos: hasta 600€ de multa por cada reserva comunicada tarde

- Registro de reservas: "discrimina" a agencias respecto a turoperadores

- Registro de reservas: una "bomba de relojería" para los viajes de negocios

- Registro de viajeros: hoteles logran avances pero agencias se quedan atrás

- Registro de reservas: ¿Por qué no se ha impugnado ya?

- Escenario B: ¿y si las agencias no son eximidas del registro de reservas?

- La Mesa del Turismo solicita la suspensión del registro de viajeros

- CEOE pide que se suspenda la entrada en vigor del registro de reservas

- El sector turístico europeo se une contra el registro digital de viajeros

- El registro de agencias consigue la unidad del sector en su unánime rechazo

- Los campings temen que el registro de viajeros colapse las pymes