Hackeo en Amadeus expone datos de 92.000 pasajeros de JAL

white box security camera on wall — Siarhei Horbach / Unsplash

El sistema de reservas de Amadeus IT Group fue hackeado, lo que provocó la exposición de información personal de aproximadamente 92.000 pasajeros de Japan Airlines.

Japan Airlines notificó el 30 de octubre que se detectó un acceso no autorizado al sistema de servicios de pasajeros de Amadeus, utilizado para reservas, emisión de billetes y facturación. La aerolínea confirmó que los datos de los clientes de Japan Airlines y Japan Transocean Air fueron consultados externamente.

La compañía recibió la notificación del incidente de Amadeus el 23 de octubre. El período de acceso no autorizado abarca desde el 10 de agosto de 2023 hasta el 23 de septiembre de 2026, un lapso de aproximadamente tres años.

Aproximadamente 90.000 pasajeros vieron expuestos su número de reserva, nombre, fecha de embarque, tramo del vuelo y clase de asiento. Otros 2.000 pasajeros tuvieron expuestos además su correo electrónico, número de teléfono, número de pasaporte, nacionalidad, número de socio de millas, número de vuelo, número de billete y número de asiento.

Japan Airlines afirmó que no se filtraron números de tarjetas de crédito ni contraseñas, y que no se ha detectado ningún caso de uso indebido de la información personal hasta la fecha. La aerolínea indicó que la operación de los vuelos no se ha visto afectada. Se enviaron correos electrónicos individuales a los clientes afectados, advirtiéndolos sobre posibles correos de phishing y llamadas fraudulentas que suplanten a la aerolínea.

Korean Air y Asiana Airlines también recibieron notificaciones de Amadeus sobre el acceso no autorizado a su sistema de reservas el 20 de octubre. Korean Air fue notificada a las 22:44 y Asiana Airlines a las 22:49 de ese día. Ambas aerolíneas informaron que no se detectó evidencia de un compromiso directo de sus propias bases de datos.

Según los anuncios oficiales, el atacante utilizó credenciales de inicio de sesión asignadas a una cuenta del sistema de Amadeus para acceder de forma no autorizada.

All Nippon Airways informó que la información de aproximadamente 37.800 pasajeros se vio afectada. Cathay Pacific Airlines de Hong Kong declaró que se produjo un acceso no autorizado a aproximadamente 53.000 registros de reservas.

El incidente destaca el riesgo de seguridad en los sistemas de tecnología de la información externos compartidos por la industria aérea global. La exposición de números de reserva y nombres de pasajeros podría ser explotada para ataques de phishing sofisticados que suplanten cambios o reembolsos de billetes. Se subrayó la importancia de la gestión de credenciales, la restricción de permisos de acceso y la detección de consultas anómalas de información de reservas.