El sector del renting de vehículos ha vuelto a ser objetivo de los ciberdelincuentes. La compañía española ClickRent habría sufrido una grave filtración de datos.
El pirata informático tendría en su poder más de 200 GB de información, que incluye más de 100 GB de documentación de identidad, incluyendo pasaportes, DNIs, permisos de conducir, documentos en PDF y selfies utilizados en procesos de verificación.
A esto se suman datos personales completos como nombres, direcciones físicas, fechas de nacimiento, correos electrónicos, números de teléfono e incluso contraseñas.
Además, la brecha incluye información financiera como números de tarjetas (parciales o completos), historial de reservas con detalles sobre vehículos, ubicaciones y fechas, así como tokens de transacción.
También se habrían visto comprometidos datos corporativos pertenecientes a ClickRent, incluyendo información de empleados, archivos internos de la compañía y documentación financiera.
El propio actor de amenazas ha advertido en su publicación de que, debido a la gravedad del incidente, la Agencia Española de Protección de Datos podría intervenir. De confirmarse, la compañía podría enfrentarse a sanciones relevantes en el marco del Reglamento General de Protección de Datos (RGPD), además de un importante impacto reputacional.
ClickRent es una empresa española de alquiler de vehículos fundada en 2011 y con sede principal en Palma de Mallorca. Ofrece alquiler de coches, furgonetas, motos y otros vehículos, principalmente orientados al turismo y la movilidad dentro de nuestro país, con una red de más de 30 oficinas en aeropuertos, estaciones de tren y ciudades del país.
Posibles riesgos para los afectados
Los clientes afectados por la brecha de Clickrent enfrentan riesgos importantes debido a la exposición de datos personales, financieros y documentos de identidad.
La filtración de DNIs, pasaportes, carnés de conducir y selfies de verificación (KYC) aumenta significativamente la posibilidad de suplantación de identidad, permitiendo a los atacantes abrir cuentas bancarias, contratar servicios o solicitar créditos de manera fraudulenta.
Además, aunque algunos datos de tarjetas puedan estar parcialmente ocultos, combinados con otra información personal facilitan fraudes financieros y ataques de ingeniería social. La información sobre reservas y hábitos de consumo también puede emplearse para hacer ataques más convincentes.
El riesgo se extiende al phishing altamente personalizado, donde nombres, correos electrónicos, teléfonos y contexto real permiten a los ciberdelincuentes suplantar a la empresa o a otras entidades legítimas.
La filtración puede derivar igualmente en credential stuffing (ataques de rellenos de credenciales) si los usuarios reutilizan contraseñas, así como en extorsión o chantaje utilizando información sensible. La venta de estos datos en mercados clandestinos y su potencial uso a largo plazo hacen que los afectados puedan enfrentarse a fraudes incluso años después del incidente.
