Mexický sekretariát pro boj s korupcí a řádnou správu věcí veřejných (SABG) se zaměřil na možný masivní únik osobních údajů, který se dotýká zákazníků společnosti Aeroméxico. Všechno to začalo interním upozorněním: jeho forenzní monitorovací systém zjistil náznaky, že databáze, údajně patřící letecké společnosti, je nabízena k prodeji v aplikaci pro zasílání zpráv Telegram. Objev datovaný 18. zářím vedl úřady k zahájení vyšetřování s cílem zjistit původ a pravost informací, jakož i případné právní závazky.
Podle SABG obsahoval telegramový příspěvek databázi s více než 15 miliony záznamů o přibližné velikosti 1,1 GB . Pole zahrnutá v analyzovaném vzorku, který se skládal ze 100 092 záznamů, obsahovala celé jméno, e-mailovou adresu, telefonní číslo, datum narození a datum registrace u služby. Úřad poznamenal, že záznamy obsahovaly jména veřejných činitelů a známých osobností, ačkoli nebyly zveřejněny konkrétní identity. Tento typ informací, a to i bez finančních údajů, je dostatečný k provádění phishingových nebo krádeží identity, což je riziko, před kterým úřady již varovaly.
Reakce společnosti Aeromexico: interní vyšetřování a spolupráce
Společnost Aeromexico reagovala rychle. V oficiálním prohlášení společnost potvrdila, že zahájila vlastní vyšetřování s cílem ověřit pravost údajů, určit jejich původ a posoudit skutečný rozsah jakéhokoli potenciálního dopadu. Letecká společnost důrazně zdůraznila jednu věc: dosud nezjistila žádné úniky finančních informací, čísel platebních karet ani hesel k účtům svých zákazníků, včetně účtů věrnostního programu Aeromexico Rewards. Dále zdůraznila, že její provoz nadále funguje normálně a že bude s úřady při vyšetřování plně spolupracovat.
Společnost, která v roce 2025 přepravila více než 24 milionů cestujících, se snažila vyslat uklidňující, ale zároveň varovný signál. Doporučuje svým zákazníkům, aby si dávali pozor na podezřelé e-maily, zprávy nebo hovory s žádostmi o osobní nebo finanční informace – v těchto případech jde o standardní radu. Společnost však ani nepotvrdila, ani nevyvrátila pravost databáze nabízené na Telegramu, což lze zjistit až po ukončení vyšetřování.
Právní rámec: Federální zákon o ochraně osobních údajů v centru pozornosti
Vyšetřování probíhá na základě mexického federálního zákona o ochraně osobních údajů držených soukromými osobami , který je platný od roku 2025. Tento zákon stanoví, že společnosti musí zavést administrativní, technická a fyzická opatření k zabránění neoprávněnému přístupu k osobním údajům. SABG může na základě svých pravomocí zahájit ověřovací postupy z vlastního podnětu, pokud existují náznaky porušení, a pokud je zjištěno nedodržování předpisů, zákon stanoví uložení sankcí.
Jedním z klíčových aspektů předpisů je povinnost informovat dotčené osoby o jakémkoli porušení, které by mohlo významně ovlivnit jejich majetková nebo osobní práva. V tomto případě však úřady a letecká společnost postupují opatrně. Existence souboru na Telegramu a analýza vzorku zatím neumožňují dojít k závěru, že Aeroméxico utrpělo přímé narušení bezpečnosti. Vyšetřování je v počáteční fázi a data mohla pocházet od externího poskytovatele, z interního incidentu nebo dokonce ze shromažďování veřejně dostupných informací, jak se stalo v jiných podobných případech.
V tomto ohledu SABG zopakovala, že cílem řízení je určit odpovědnost za kompromitované databáze a že žádná osoba ani subjekt nebyly identifikovány jako definitivně odpovědné za incident. Agentura v čele s Raquel Buenrostro zdůraznila, že bude jednat v přísném souladu se zákonem a v souladu s ochranou veřejného zájmu.
Rizika pro uživatele: nad rámec osobních údajů
Kromě potenciálního úniku dat tento případ znovu rozpoutal debatu o rizicích zveřejnění osobních údajů. Ačkoli Aeroméxico nezjistila žádné úniky finančních informací, kombinace jmen, telefonních čísel, e-mailových adres a dat narození je pro kyberzločince zlatým dolem. Tyto úniky jsou často prvním krokem k phishingovým kampaním, krádeži identity nebo dokonce přístupu k bankovním účtům prostřednictvím technik sociálního inženýrství.
Orgány pro kybernetickou bezpečnost, jako je CERT-MX, doporučují, aby dotčení nebo potenciálně dotčení uživatelé aktivovali dvoufázové ověřování, používali pro každou platformu jedinečná hesla a dávali si pozor na zprávy požadující osobní údaje nebo ověřovací kódy. Doporučují také přistupovat přímo na webové stránky leteckých společností a ověřovat jakoukoli podezřelou komunikaci prostřednictvím oficiálních kanálů zákaznického servisu. Ve Španělsku používá podobný přístup Španělský úřad pro ochranu osobních údajů (AEPD): v případě incidentu tohoto druhu je prvním krokem kontrola neoprávněného přístupu a v takovém případě informování příslušného orgánu a dotčených osob.
Případ Aeroméxico je připomínkou toho, že hrozby neznají hranic. Ačkoli se vyšetřování zaměřuje na Mexiko, zákaznická data mezinárodní letecké společnosti mohou být rozptýlena po celém světě. Prozatím je jasné pouze to, že probíhá otevřené vyšetřování a že jak úřady, tak i společnost doporučily uživatelům, aby při jakékoli podezřelé komunikaci postupovali s maximální opatrností. Všechno mezitím naznačuje, že se jedná o případ, který by se mohl vléct týdny, protože určení přesného původu dat nebude snadné. Dobrou zprávou je, že alespoň prozatím neexistují žádné důkazy o tom, že by finanční data byla ohrožena, což značně snižuje potenciál přímých finančních škod.