La cadena hotelera InterContinental, hackeada

The Verge ha informado que la cadena InterContinental que ha sido infectada con un malware que ha robado datos de las tarjetas de crédito de los clientes en 1.200 de sus hoteles.

En un primer momento, los responsables pensaron que esta brecha solo afectaba a una docena de sus establecimientos, y así lo comunicaron a principios de año. Pero cuando investigaron el asunto en profundidad descubrieron que el número de alojamientos afectados era muchísimo mayor. El ataque estuvo activo desde septiembre a diciembre de 2016, y el grupo ha asegurado de que no hay ninguna evidencia de que haya continuado activa a partir de entonces. Eso sí, no se puede asegurar que el malware haya quedado completamente eliminado hasta el mes pasado, marzo de 2017.

La cadena que se encarga de la gestión de alojamientos de las marcas Holiday Inn o Kimpton, entre otras, ha compartido ahora más detalles sobre este problema, asegurando que únicamente ha afectado a los hoteles de su grupo, IHG, situados en Estados Unidos. Eso sí, sus responsables ignoran cuántos datos de sus clientes han sido sustraídos y han advertido de que el número de los hoteles afectados podría incluso ser más elevado que el anunciado. En total, el grupo IHG cuenta con 3.925 hoteles solo en Estados Unidos.

Al parecer, según KrebsOnSecurity, blog del experto en seguridad Brian Krebs, que desveló el ataque el pasado mes de diciembre, IHG no ha terminado todavía de realizar una inspección de seguridad de todos los hoteles del grupo debido a que muchos de ellos funcionan en régimen de franquicia y no es fácil contactar con ellos. No obstante, desde IHG han asegurado a The Verge que únicamente un pequeño porcentaje de sus hoteles franquiciados no ha sido todavía investigado.

Mientras se desvela el asunto, IHG ha publicado una herramienta para que todas las personas que hayan utilizado una tarjeta de crédito en los hoteles del grupo puedan comprobar si ha sido atacado. La compañía comenta que los datos robados de las tarjetas, además de su número, fecha de caducidad y código de verificación interno, pueden incluir el nombre de su propietario. Eso sí, aseguran que todavía no hay evidencias de que los datos robados se hayan utilizado.