Síntesis
Una vulnerabilidad en la plataforma de Amadeus, empresa española que gestiona reservas, emisión de pasajes y check-in para aerolíneas de todo el mundo, expuso información de pasajeros de compañías de Japón, Corea del Sur y Hong Kong. Los accesos abarcan reservas hechas entre 2023 y 2026, y la empresa asegura que ya corrigió la falla.
- Japan Airlines y su filial reportaron unos 92 mil clientes afectados.
- Cathay Pacific informó cerca de 53 mil reservas comprometidas.
- En algunos casos se expusieron pasaportes, correos y teléfonos.
- Amadeus afirma que no se accedió a datos de pago.
Noticia
Amadeus IT Group, la empresa española que provee sistemas de reservas, emisión de pasajes y check-in, informó que detectó una vulnerabilidad en un entorno de visualización de reservas de viaje. Según su sitio, su tecnología da servicio a más de 400 aerolíneas.
En su comunicado, la compañía reconoció que ciertos datos de visualización de reservas quedaron accesibles a través de esa falla. Aunque la investigación sigue en curso, aseguró que “no hay evidencia de que se haya accedido a datos de pago o financieros”.
Las primeras aerolíneas en informar el incidente fueron las surcoreanas Korean Air y Asiana Airlines. Asiana detalló que recibió el aviso la noche del 20 de octubre y que el acceso se hizo con credenciales de inicio de sesión de una cuenta del sistema de Amadeus, en un período estimado entre agosto de 2023 y septiembre de 2026.
Asiana confirmó la exposición de números de reserva de algunos clientes, reportó el caso a la Comisión de Protección de Información Personal de Corea del Sur y aseguró que su base de datos no fue vulnerada. Korean Air también confirmó la filtración de números de reserva, aunque el alcance total sigue en investigación.
En Japón, Japan Airlines (JAL) y su filial Japan Transocean Air recibieron el aviso el 23 de octubre. Los afectados suman unos 92 mil clientes con reservas entre el 10 de agosto de 2023 y el 23 de septiembre de 2026.
En cerca de 90 mil casos se expusieron el código de reserva, el nombre, la fecha, el tramo y la clase del vuelo. En otros 2 mil se sumaron correo, teléfono, pasaporte, nacionalidad, número de viajero frecuente y asiento. La aerolínea aclaró que “no hubo compromiso de números de tarjetas de crédito ni de contraseña alguna”.
All Nippon Airways (ANA), la otra gran aerolínea japonesa, anunció el 29 de octubre que también fue notificada. Un reporte posterior del sitio Aviation Wire situó la cifra en unos 38 mil clientes, 1.700 de ellos con su número de pasaporte expuesto.
Cathay Pacific, la aerolínea de bandera de Hong Kong, informó el 30 de octubre que unas 53 mil reservas fueron afectadas. En la mayoría se trató de la referencia de reserva, el nombre del pasajero y los detalles del vuelo, aunque un grupo menor incluyó información personal adicional.
Amadeus indicó que aplicó medidas para corregir la vulnerabilidad y reforzó sus capacidades de monitoreo y detección. También afirmó que no hay indicios de que la falla se haya explotado con fines de ransomware y que mantiene diálogo directo con sus clientes y con las autoridades.
Las operaciones de vuelo de las líneas JAL y Cathay no se vieron afectadas. JAL indicó que contactó a los afectados por correo, habilitó una línea de consultas y pidió estar alerta ante correos, llamadas y sitios falsos que suplanten al grupo. Por su parte, Korean Air y Asiana exigieron a Amadeus medidas de protección más estrictas.
El caso se suma a una serie de filtraciones en Japón, varias de las cuales hemos dado cuenta en este blog en las últimas semanas. Entre los incidentes se incluye 2,5 millones de afectados en un proveedor de internet de Sony Network Communications, 11 millones en Burger King Japan y 11,7 millones en Capcom.
