Un incidente de ciberseguridad en Amadeus, el proveedor español de tecnología para el sector de los viajes, ha puesto bajo escrutinio los sistemas de reserva utilizados por varias aerolíneas asiáticas. Japan Airlines (JAL) y su filial Japan Transocean Air han confirmado indicios de acceso no autorizado a información de pasajeros. All Nippon Airways (ANA) ha comunicado un incidente similar, mientras que Korean Air y Asiana Airlines también han advertido de la exposición de datos de clientes a través de sistemas del mismo proveedor.
La información difundida por la cuenta especializada en ciberamenazas H4ckmanac en X alertó sobre el incidente. Sin embargo, la confirmación más relevante procede de las propias compañías: sus comunicados oficiales acreditan que Amadeus les notificó accesos no autorizados o indicios de consulta externa de datos de reservas.
JAL cifra en 92.000 los pasajeros potencialmente afectados
Japan Airlines informó este pasado 28 de octubre de que Amadeus IT Group, proveedor de su sistema de gestión de reservas, emisión de billetes y facturación, le había comunicado indicios de acceso externo a parte de los registros de pasajeros. La compañía recibió el aviso el 23 de octubre.
Según el comunicado oficial, el incidente podría afectar a aproximadamente 92.000 personas con reservas de vuelos operados bajo los códigos de JAL y Japan Transocean Air. En unos 90.000 casos, los datos potencialmente consultados incluyen el código de reserva, el nombre del pasajero, la fecha del vuelo, el trayecto y la clase de servicio.
Para alrededor de 2.000 clientes, la información podría incluir también direcciones de correo electrónico, teléfonos, números de pasaporte, nacionalidad, número de viajero frecuente, número de billete y asiento asignado, entre otros datos.
La aerolínea asegura que no se han visto comprometidos números de tarjetas de crédito ni contraseñas. Tampoco ha confirmado usos fraudulentos de la información y afirma que el incidente no ha afectado a las operaciones aéreas.
El periodo durante el que se han identificado indicios de acceso externo abarca del 10 de agosto de 2023 al 23 de septiembre de 2026. Se trata del intervalo correspondiente a los registros potencialmente afectados, no de una confirmación de que los atacantes mantuvieran acceso continuado durante todo ese tiempo.
JAL ha anunciado que contactará individualmente con los clientes afectados y les advertirá sobre posibles correos electrónicos, llamadas y páginas web fraudulentas que suplanten a la aerolínea.
ANA también investiga una posible exposición de datos
All Nippon Airways confirmó el 29 de octubre que había recibido una comunicación de Amadeus sobre un acceso no autorizado a sus sistemas. La compañía está trabajando con el proveedor para determinar el alcance del incidente y qué información pudo quedar expuesta.
Por el momento, ANA no ha publicado una cifra de pasajeros afectados ni ha detallado las categorías de datos potencialmente consultados. La aerolínea ha señalado que informará a los clientes afectados cuando disponga de información confirmada.
Korean Air y Asiana alertaron antes de la exposición
Las compañías surcoreanas Korean Air y Asiana Airlines también han informado de accesos no autorizados a información gestionada por Amadeus. Ambas comunicaron el incidente el 23 de octubre, después de recibir notificación del proveedor el día 20.
Según sus comunicados, entre los datos afectados figuran números de reserva de algunos clientes. Las compañías señalan que la investigación apunta al uso no autorizado de credenciales de acceso asociadas a una cuenta del sistema de Amadeus.
Korean Air y Asiana aseguran que no han encontrado indicios de que sus propias bases de datos internas hayan sido comprometidas. Ambas han informado de que están colaborando con el proveedor para aclarar qué información adicional pudo quedar expuesta y han puesto en marcha las medidas de comunicación y protección correspondientes.
No existe todavía un balance consolidado del número de afectados en las cuatro aerolíneas. Los aproximadamente 92.000 pasajeros comunicados por JAL y Japan Transocean Air corresponden exclusivamente a estas dos compañías.
El riesgo de concentrar servicios críticos en un proveedor común
El incidente pone de relieve los riesgos de la cadena de suministro tecnológica. Las aerolíneas externalizan parte de sus sistemas de reservas, emisión de billetes y gestión de pasajeros, lo que permite integrar operaciones y servicios, pero también hace que un incidente en un proveedor pueda repercutir en varias compañías.
La exposición de nombres, códigos de reserva y datos de vuelos puede facilitar campañas de suplantación de identidad. Si los atacantes disponen además de teléfonos, correos electrónicos o números de pasaporte, pueden elaborar mensajes más convincentes para intentar obtener credenciales o inducir a los pasajeros a visitar páginas fraudulentas.
Amadeus ha comunicado a las compañías que ha aplicado las medidas de seguridad necesarias. Sin embargo, los detalles técnicos completos del incidente, la identidad de los responsables y el método concreto de acceso no han sido publicados en las comunicaciones consultadas.
La investigación deberá aclarar si los casos de las cuatro aerolíneas responden a una misma intrusión, cuál fue el alcance real de los datos consultados y si existen otras compañías afectadas.
Deja una respuesta