Important Information About a Security Incident

COMUNICADO DEL DELEGADO DE PROTECCIÓN DE DATOS

Estimado/a cliente/a,

Desde Cordial Hotels & Resorts nos ponemos en contacto con usted para informarle de un incidente de seguridad que ha afectado a uno de nuestros proveedores de servicios tecnológicos, Consultores Canarios de Informática, S.A. (nombre comercial NORAY), y que afecta a información personal relacionada con su reserva.

¿Qué ha ocurrido?
El viernes 6 de noviembre a las 20:57 (hora canaria), Consultores Canarios de Informática, S.A. (nombre comercial NORAY), nos informa que su reserva está entre las afectadas por una brecha de seguridad que sufrió dicho proveedor de servicios tecnológico entre las 18:00 horas del 2 de noviembre de 2026 y las 09:00 horas del 3 de noviembre de 2026 (hora de Canarias). Terceros no autorizados accedieron, mediante un ataque informático, a un servidor intermedio de Noray donde ese proveedor aloja las reservas que le llegan del Channel Manager antes de volcarlo en el PMS Noray.

Consultores Canarios de Informática, S.A. es el desarrollador del Property Management System de nombre comercial NORAY que utiliza Cordial Hotels & Resorts y muchas otras cadenas hoteleras españolas que, lamentablemente, también se han visto afectadas por este ataque informático.

Consultores Canarios de Informática, S.A. (nombre comercial NORAY) nos asegura que desde el día 5 de noviembre de 2026 ha corregido la vulnerabilidad en su sistema que permitió el ataque.

Como consecuencia de este incidente, se ha detectado el envío de mensajes fraudulentos a través de WhatsApp a algunos de nuestros clientes, en los que terceros no autorizados se hacen pasar por Cordial Hotels & Resorts. Estas comunicaciones pueden incluir información real de la reserva y piden al destinatario que confirme o valide su estancia mediante enlaces a páginas web fraudulentas, con el fin de obtener información bancaria o realizar cargos indebidos. Estos mensajes se han enviado desde cuentas como “Ooredoo Maldives” u “Honda BigWing Silk Board”. Tenga en cuenta que los remitentes pueden variar.

Le recordamos que Cordial Hotels & Resorts no utiliza WhatsApp ni SMS para solicitar confirmaciones de reservas, solicitar pagos, solicitar datos personales o para ofrecer mejoras adicionales a su reserva.

Su reserva sigue siendo válida y no necesita ninguna confirmación adicional como consecuencia de este incidente.

¿Qué datos podrían haberse visto afectados?
Según la información facilitada por nuestro proveedor hasta el momento, los datos personales que podrían haberse visto afectados son:

• Nombre y apellidos.
• Número de teléfono.
• Dirección de correo electrónico.
• Información de la reserva: establecimiento, fechas de la estancia y número de reserva.

Consultores Canarios de Informática, S.A. (nombre comercial NORAY) nos asegura que los datos de Pasaporte o domicilio no se han visto comprometidos.

Cordial Hotels & Resorts no almacena los datos de las tarjetas de crédito de sus clientes, ya que los pagos se procesan mediante pasarelas de pago seguras.

Posibles consecuencias del incidente
El acceso no autorizado a esta información podría facilitar:

• El envío de comunicaciones fraudulentas por correo electrónico, SMS o aplicaciones de mensajería como Whatsapp que aparenten proceder de Cordial Hotels & Resorts o del establecimiento en el que se aloja.
• Intentos de suplantación de identidad para obtener información personal o bancaria adicional.
• Solicitudes de pagos fraudulentos mediante enlaces a páginas web que simulan ser canales oficiales de confirmación de reservas.

¿Qué puede hacer usted?
Le recomendamos extremar la precaución y seguir estas pautas:

• No acceda a enlaces incluidos en mensajes sospechosos, aunque contengan datos reales de su reserva.
• No facilite datos personales, contraseñas ni información bancaria a través de enlaces recibidos por WhatsApp, SMS o correo electrónico.
• No realice pagos ni confirme su reserva por canales distintos de los oficiales de Cordial Hotels & Resorts.
• No descargue archivos ni responda a comunicaciones de remitentes desconocidos.
• Si ha facilitado los datos de su tarjeta o ha realizado algún pago a través de estos enlaces, contacte de inmediato con su entidad bancaria para bloquear la tarjeta y reclamar los cargos.
• Si ha facilitado alguna contraseña, cámbiela cuanto antes.
• Bloquee y denuncie los contactos fraudulentos desde la propia aplicación de WhatsApp.

Puede consultar más información sobre cómo protegerse frente a este tipo de fraudes en la web del Instituto Nacional de Ciberseguridad (INCIBE): https://www.incibe.es. También puede llamar gratis a su línea de ayuda en ciberseguridad, el 017.

Si ha recibido alguna comunicación sospechosa relacionada con su reserva, puede enviarnos la información de la que disponga, como capturas de pantalla o los datos del remitente, a dpo@becordial.com.

Medidas adoptadas
Desde que tuvimos conocimiento de lo sucedido, activamos nuestro protocolo interno de gestión de incidentes de seguridad y hemos tomado, junto con nuestro proveedor, estas medidas:

• El proveedor cortó los accesos y los servicios de reservas afectados, cambió las claves de acceso de los canales externos y desconectó el servidor afectado.
• Una empresa especializada en ciberseguridad ha realizado por cuenta de Consultores Canarios de Informática, S.A. (nombre comercial NORAY) un análisis técnico del ataque y continúa investigando su alcance. Hemos solicitado al proveedor las medidas correctivas necesarias para evitar nuevos accesos no autorizados.
• Hemos denunciado los hechos ante la Policía Nacional.
• Hemos notificado el incidente a la Agencia Española de Protección de Datos.

Seguiremos haciendo el seguimiento del incidente y le informaremos si conocemos datos nuevos que le afecten.

Contacto
Para cualquier consulta relacionada con este incidente, puede dirigirse a nuestro Delegado de Protección de Datos en dpo@becordial.com.

Lamentamos profundamente las molestias y la preocupación que esta situación le haya podido ocasionar, y reiteramos nuestro compromiso con la protección de sus datos personales.

Atentamente,
Delegado de Protección de Datos