TL;DR
- En 2018, mediante la obtención de las credenciales de un contratista de British Airways, actores maliciosos pudieron modificar un script ejecutado del lado del cliente para exfiltrar datos de tarjetas de crédito hacia un endpoint controlado por ellos. Ese dominio es baways[.]com, que ha sido propiedad de cside desde 2024.
- En el dominio baways[.]com puedes leer con todo detalle una cronología objetiva de los eventos y sus consecuencias.
- Tras el incidente, la ICO tenía previsto multar a British Airways con £183 millones, pero la multa se redujo posteriormente a £20 millones. En ese momento British Airways atravesaba dificultades por el Covid-19, lo que pudo contribuir a la reducción de la sanción.
- Tras este incidente y muchos otros similares, el PCI DSS (Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago) actualizó sus requisitos para incluir la monitorización, seguridad y documentación de scripts del lado del cliente.
- Hoy existen más soluciones en el mercado para ayudar a prevenir este tipo de incidentes, pero la calidad de los enfoques varía significativamente.
Por qué compramos baways[.]com
Porque podíamos. Sorprendentemente, aunque muchos proveedores hablaban constantemente del ataque, el dominio utilizado en él caducó y estaba disponible para su venta en el mercado público por la tarifa estándar de ICANN de 10,44 dólares al año.
Con el paso de los años, y a través de las páginas de marketing de los proveedores, lo que se escribía ya no se ajustaba a los hechos, así que decidimos recopilar las pruebas, los documentos judiciales, los comunicados de prensa y las páginas archivadas una última vez y publicarlo todo en un informe consolidado. En el mismo dominio que se utilizó en el ataque.
Incluso contratamos a un ex periodista para ayudar a investigar el tema.
![Banner del micrositio baways[.]com.](/content/images/2025/12/Screenshot-2025-12-14-at-8.20.04---PM.png)
Cronología del ataque a British Airways:
22 de junio de 2018: Un atacante accede a la red de British Airways utilizando credenciales robadas de un empleado de Swissport (un contratista de servicios de carga). La cuenta no tenía autenticación multifactor.
23-26 de junio de 2018: El atacante explora el sistema. Encuentra algo alarmante: credenciales de administrador de dominio almacenadas en texto plano. Simplemente en un archivo. Sin cifrar.
26 de julio de 2018: El atacante descubre archivos de registro que contienen datos de tarjetas de pago. También en texto plano. Procedían de una función de prueba que nunca debió ponerse en producción.
21 de agosto - 5 de septiembre de 2018: El ataque se activa. Durante 16 días, cada cliente que introdujo sus datos de pago en el sitio web de BA tuvo sus datos copiados y enviados a baways[.]com.
5 de septiembre de 2018: British Airways recibe una notificación de un tercero. Lo detienen en 90 minutos.
Cómo funcionó el ataque a British Airways
El atacante inyectó código malicioso en Modernizr, una biblioteca JavaScript habitual que ayuda a los sitios web a funcionar en distintos navegadores. British Airways estaba sirviendo esta versión comprometida a todos sus clientes.
- El script malicioso esperaba a que los clientes hicieran clic en el botón de confirmación de pago
- Capturaba todos los datos de pago e información personal del formulario
- Enviaba esos datos a baways[.]com (que parecía legítimo, ya que BA usa "BA" en su marketing)
- Todo ocurría en silencio en segundo plano
- El proceso de pago normal continuaba sin ningún problema
Por qué el ataque a British Airways pasó desapercibido para la seguridad de red
El ataque ocurrió sin dejar rastros visibles. La única forma de detectar que algo fuera de lo ordinario estaba ocurriendo era a través de las herramientas de desarrollo del navegador, en la pestaña de red, cuando los datos estaban siendo enviados.
Este ataque también afectó a la aplicación móvil, que ejecutaba una webview de la aplicación web. La propia webview no tenía panel de herramientas de desarrollo, por lo que en la aplicación móvil no quedó absolutamente ningún rastro visible.
Habría sido extremadamente difícil, si no imposible, para los clientes detectar que sus datos estaban siendo robados.
El daño causado
En el proceso judicial, la ICO (Oficina del Comisionado de Información) publicó las cifras completas.
| Categoría | Número de afectados |
|---|---|
| Datos completos de tarjeta expuestos | 244.000 |
| Tarjeta + CVV expuestos | 77.000 |
| Solo números de tarjeta | 108.000 |
| Cuentas BA Executive Club | 612 |
| Total de personas afectadas | 429.612 |
La ICO propuso inicialmente una multa de £183,39 millones. Tras negociaciones, el debido proceso y el escrutinio financiero provocado por el COVID-19 sobre British Airways, la multa se redujo a £20 millones.
British Airways sufrió pérdidas significativas y el CEO de entonces se vio obligado a disculparse públicamente y aseguró que los clientes afectados serían compensados.
La multa no es el único impacto financiero. Le siguieron múltiples demandas colectivas; fuentes públicas estiman los daños entre £2.000 y £6.000 por reclamante. Con más de 16.000 víctimas representadas en una sola demanda, el impacto financiero total probablemente superó la sanción regulatoria, sin contar el impacto comercial del daño a la reputación de la marca British Airways.
Por qué este incidente sigue siendo relevante en 2025
El problema no ha hecho más que crecer. La postura de seguridad de las aplicaciones web se centra en acciones dirigidas a la infraestructura web. Se presta nueva atención a la monitorización de dependencias estáticas de código abierto y a la adopción de IA en las empresas. Pero los desarrolladores web y los equipos de seguridad siguen sin saber, ni disponer de herramientas fiables para verificar, cómo se comportan sus aplicaciones web y sus dependencias —como herramientas de marketing y paquetes de código abierto— en los navegadores.
La monitorización en tiempo de ejecución del lado del cliente habría prevenido el ataque a British Airways
Este es un vector de ataque altamente dinámico, por lo que la única solución real a la amenaza de seguridad es el análisis activo en tiempo de ejecución. La presión del cumplimiento normativo ha llevado a algunas empresas a adoptar herramientas de verificación de casillas que utilizan escáneres/crawlers o enfoques sin agente. Estos son fácilmente eludibles por el actor malicioso, que simplemente no sirve las cargas útiles maliciosas a esas herramientas.
La seguridad real del lado del cliente en tiempo de ejecución sigue sin ser una prioridad alta. Los actores maliciosos son conscientes de ello, y a diario se producen ataques del lado del cliente de gran complejidad. Algunos casos recientes de gran relevancia incluyen el ataque a Bybit, el ataque a CoinMarketCap y el ataque a Polyfill de 2024, que afectó a más de 490.000 sitios web utilizando un script similar a Modernizr.
La cadena de suministro del lado del cliente presenta algunos desafíos adicionales especialmente significativos. Cada solicitud a un servidor de terceros puede generar una respuesta dinámica y diferente. El análisis constante es costoso, pero es la única forma de gestionar la postura de seguridad.
Qué cambió tras el incidente de British Airways
En torno a la época del incidente de British Airways, ocurrieron muchos incidentes similares, como la brecha de Ticketmaster y el ataque a Newegg. Mastercard, Visa y American Express revelaron que la mayor cantidad de datos de tarjetas de crédito se roba hoy en día a través de scripts maliciosos del lado del cliente. Por ello, la respuesta fue ajustar el marco de cumplimiento PCI DSS para incluir la seguridad del lado del cliente en 2 nuevos requisitos de cumplimiento: 6.4.3 y 11.6.1. Escribimos un artículo detallado sobre ellos aquí.
Tras el ajuste en PCI DSS, otros marcos del sector aclararon sus requisitos en materia de seguridad de la cadena de suministro para incluir las dependencias ejecutadas del lado del cliente. Incidentes como la filtración de datos de Kaiser Permanente impulsaron actualizaciones en HIPAA.
Cada vez es más imprescindible adoptar soluciones de seguridad en tiempo de ejecución del lado del cliente para monitorizar las acciones del sitio web; sin embargo, cada requisito de cumplimiento exige su propio formato de evidencia. Algunos se centran más en el uso de cookies, otros más en los flujos de datos. No obstante, con una solución como cside esto se vuelve muy sencillo.
Cómo ayuda cside
cside ofrece un enfoque altamente flexible para la seguridad del lado del cliente. Ya sea monitorizando el comportamiento de los scripts del lado del cliente y analizándolos en mayor profundidad en nuestro motor mediante informes del lado del cliente, cside obtiene el panorama completo. Analiza el código de las dependencias servidas en tiempo real, ayudándote a prevenir que comportamientos no deseados generen un impacto grave en el negocio.
Nuestro enfoque nos permite no solo detectar ataques avanzados y altamente dirigidos y alertar sobre ellos; cside también hace posible bloquear los ataques antes de que lleguen al navegador del usuario. Además, cumple con múltiples marcos de cumplimiento, incluyendo PCI DSS 4.0.1, HIPAA, GDPR, CPRA... Incluso proporcionamos análisis forense profundo, incluyendo los casos en que un atacante intenta eludir nuestras detecciones. Almacenamos datos sobre ataques no detectados para mejorar continuamente nuestras capacidades de detección. Todo ello te da el control que necesitas en un formato fácil de usar. Conociendo las limitaciones de los navegadores, sabemos que esta es la forma más segura de monitorizar y proteger tus dependencias en todo tu sitio web. Llevamos años en el espacio de la seguridad del lado del cliente antes de fundar cside. Conocemos las limitaciones de los navegadores e invertimos tiempo contribuyendo a organismos de estándares para mejorar y facilitar el uso de las capacidades de seguridad con soporte nativo.
Regístrate o reserva una demo para empezar.
Qué hacer a partir de aquí
Si la historia te ha intrigado, visita el micrositio interactivo en baways[.]com. Hemos hecho todo lo posible para presentarte la historia en un formato atractivo; esperamos que lo disfrutes.
