Hong Kong Disneyland: 17.000 códigos QR robados

Hong Kong Disneyland frenó la venta de entradas en su sitio oficial tras el robo de códigos QR que suman unas 17.000 admisiones. El parque detectó actividad anómala en sus computadoras, cerró la taquilla web y las reservas de hotel, y llevó el caso a la policía. El botín no fue dinero. Fueron pases.

Un código QR de entrada funciona como un boleto al portador. Quien lo presenta en el torniquete, entra; el sistema lee el código, no la cara de quien lo trae. Robar 17.000 códigos válidos equivale a vaciar una taquilla entera sin tocar una caja registradora: cada código es una admisión que puede usarse o revenderse a mitad de precio en canales informales.

El complejo informó la noche del viernes 13 de noviembre que había descubierto un incidente en su red y que ya había tomado medidas para contenerlo. El sábado 14, la página oficial mostraba un aviso de mantenimiento del sistema: la compra de boletos del parque y la reserva de habitaciones de hotel quedaron pausadas, sin fecha anunciada de regreso.

La cifra salió del equipo que vio el movimiento raro

La cifra de 17.000 códigos viene de personas conocedoras del caso. Dim Sum Daily contó que el equipo de tecnología del parque, encargado de la red interna en el día a día, detectó actividad anormal en computadoras de la empresa y al revisar encontró que faltaban unos 17.000 códigos QR guardados en el sistema. La venta en línea se detuvo de inmediato.

Ese detalle importa porque el parque, en su comunicación pública, confirmó el incidente de red y las medidas tomadas, pero no confirmó la cifra ni respondió de forma directa a las preguntas de Ming Pao sobre si hubo códigos robados o visitantes perjudicados. La cifra de 17.000 es, por ahora, un dato reportado por fuentes cercanas al caso y recogido primero por el South China Morning Post, no una cifra admitida por la empresa.

La policía confirmó que recibió la denuncia del complejo el mismo viernes. Tras las primeras diligencias, el caso quedó clasificado como acceso a una computadora con intención criminal o deshonesta, y la investigación pasó al equipo de delitos del distrito de Lantau, donde está el parque. Al hablar la fuerza el sábado 14, no había ninguna persona detenida.

En la puerta, el control cambió. El parque reforzó la revisión de boletos en los accesos para que los códigos robados cuesten más trabajo de usar, y la cadena i-CABLE informó que todos los boletos afectados quedaron bloqueados. Si los 17.000 códigos quedan marcados en el sistema, un código revendido deja de abrir el torniquete aunque parezca legítimo en la pantalla del comprador.

Comprar barato fuera de los canales oficiales quedó peligroso

El riesgo práctico cae sobre el visitante que busca descuento. Un código robado y revendido por un tercero puede funcionar en una captura de pantalla y fallar en la puerta si ya quedó bloqueado, y el comprador se entera con la fila detrás y el viaje ya pagado. El complejo pidió comprar solo por canales oficiales o socios autorizados, y a quien tenga dudas, acudir a la policía.

Las vías que siguen abiertas son concretas: agencias de viajes y plataformas asociadas, el miniprograma oficial en WeChat, la tienda oficial en Fliggy, la tienda autorizada en Douyin y las taquillas de la entrada principal. La venta directa en el sitio web es la única vía cerrada, por mantenimiento tras el incidente.

Francis Fong, presidente honorario de la Federación de Tecnología de la Información de Hong Kong, apuntó a una debilidad posible en la forma de crear, guardar y verificar los códigos, que habría permitido cosechar lotes grandes de credenciales válidas. Fong enumeró tres prioridades: reforzar la verificación en la puerta contra códigos filtrados, revisar los registros del sistema para mapear la entrada de los atacantes y comprobar si junto a los códigos salió información personal, y avisar con prontitud a reguladores y policía.

Esa tercera prioridad ya corre. El parque anunció que notificará a la Oficina del Comisionado de Privacidad para Datos Personales en cuanto sea posible; el regulador, por su parte, dijo que todavía no había recibido el aviso y que contactará al complejo para conocer el caso. Si entre lo robado hubo datos de visitantes, el expediente cambia de categoría: deja de ser solo inventario robado y pasa a ser también un caso de privacidad.

El reparto de funciones suma una capa al caso. Cityline opera las reservas de boletos por la web del complejo, mientras el equipo interno del parque atiende la red propia. Esa división pone el centro del caso justo donde se generan, se guardan y se verifican las entradas electrónicas, el mismo punto que Fong señaló. Un código QR robado se parece mucho a una credencial robada: vale porque el sistema lo reconoce, igual que un mensaje de phishing vale porque imita al remitente real, como ya se ha visto con los mensajes de phishing que suplantan servicios conocidos.

Quedan preguntas con respuesta pendiente. La venta web sigue pausada sin día de regreso, nadie ha sido detenido y el parque no ha dicho si algún código robado llegó a usarse antes del bloqueo. La próxima pieza verificable será el aviso al regulador de privacidad: si ese aviso describe solo códigos de admisión, el daño queda en inventario; si menciona datos de visitantes, Hong Kong Disneyland tendrá un segundo frente abierto.

Fuente: Dim Sum Daily