Una estafa de ingeniería social permitió la filtración de datos de 5.7 millones de clientes de Qantas, aunque la aerolínea cumplió con normas de privacidad.
Qantas, la aerolínea australiana, sufrió una brecha masiva de datos en 2025 causada por una estafa de soporte técnico que engañó a un agente de su centro de contacto, exponiendo información personal de 5.7 millones de clientes. A pesar de la magnitud del incidente, el Comisionado de Privacidad de Australia determinó que la empresa no incumplió sus obligaciones de privacidad.
Por qué importa: Este caso muestra cómo ataques de ingeniería social pueden vulnerar sistemas incluso cuando se aplican controles técnicos y auditorías rigurosas.
Lo esencial
El ataque fue un vishing, donde un estafador se hizo pasar por soporte IT de Qantas.
La brecha expuso datos personales de 5.7 millones de clientes.
El Comisionado de Privacidad concluyó que Qantas cumplió con los Australian Privacy Principles (APPs).
Imagen de referencia: The Register.
Detalles del ataque de ingeniería social
El atacante contactó a un agente del centro de atención al cliente haciéndose pasar por personal de soporte técnico de Qantas. Solicitó que el agente accediera al sistema de gestión de relaciones con clientes (CRM) y realizara acciones para cerrar un ticket de soporte. Estas acciones conectaron el CRM con una herramienta de extracción de datos que permitió robar registros de clientes.
Evaluación del cumplimiento de privacidad
El Comisionado revisó si Qantas había seguido los Australian Privacy Principles, que regulan la protección de información personal. Se constató que la aerolínea había auditado al operador del centro de contacto y realizado pruebas de concienciación en seguridad para sus empleados meses antes del incidente. Además, Qantas implementó entrenamientos recurrentes sobre manejo de datos personales.
Medidas de seguridad y gestión de datos
Qantas aplicaba controles de acceso basados en roles para proteger la información y programaba eliminaciones anuales de datos innecesarios en su CRM. En el momento del ataque, no había registros pendientes de eliminación, lo que contribuyó a que el Comisionado decidiera no abrir una investigación formal.
Situación legal y posibles repercusiones
Aunque el Comisionado no encontró fallos en las prácticas de Qantas, la aerolínea enfrenta demandas colectivas relacionadas con la brecha. La investigación podría reabrirse si surgen nuevos elementos, por lo que la empresa aún debe gestionar las consecuencias legales y reputacionales.
Preguntas frecuentes sobre la brecha de Qantas
¿Cómo logró el atacante acceder a los datos?
Mediante un ataque de vishing, el estafador engañó a un agente para que ejecutara acciones en el CRM que permitieron extraer datos.
¿Qantas incumplió las normas de privacidad?
No, el Comisionado de Privacidad determinó que Qantas cumplió con los Australian Privacy Principles y tomó medidas adecuadas para proteger la información.
