El importante sitio de reservas de hoteles, ha sido multado de 475.000 euros, después de no informar de una grave violación de datos dentro del plazo establecido por el Reglamento General de Protección de Datos (GDPR).
Booking.com sufrió la filtración en 2018, cuando los estafadores telefónicos atacaron a 40 empleados de varios hoteles en los Emiratos Árabes Unidos (EAU).
Tras obtener sus credenciales de acceso a un sistema de Booking.com, pudieron acceder a los datos personales de más de 4.100 clientes que habían reservado una habitación de hotel en los EAU a través del sitio. También se expusieron los datos de las tarjetas de crédito de 283 clientes, y en 97 casos se comprometió el código de seguridad (CVV).
«Los clientes de Booking.com corrían el riesgo de ser robados aquí. Aunque los delincuentes no robaron los datos de la tarjeta de crédito, sino sólo el nombre, los datos de contacto y la información sobre su reserva de hotel, los estafadores utilizaron esos datos para hacer phishing», explicó Monique Verdier, vicepresidenta de la Autoridad Holandesa de Protección de Datos (AP).
«Fingiendo pertenecer al hotel por teléfono o por correo electrónico, intentaban sacar dinero a la gente. Esto puede ser muy creíble si dicho estafador sabe exactamente cuándo has reservado qué habitación, y te pregunta si quieres pagar por esas noches. El daño puede ser entonces considerable».
Aunque la infracción no parece haber sido culpa de Booking.com, su respuesta ha sido insuficiente.
El gigante de los viajes, con sede en los Países Bajos, fue notificado del incidente el 13 de enero de 2019, pero no lo comunicó a AP hasta el 7 de febrero, 22 días después. El GDPR ordena normas estrictas para informar dentro de las 72 horas.
Con información de: Info Security Magazine.