Cresce il conto della violazione Amadeus: Singapore Airlines segnala 46.000 registrazioni

L'incidente potrebbe aver esposto nome, itinerario e classe di prenotazione di chiunque abbia prenotato con una compagnia coinvolta tra agosto 2023 e settembre 2026. Per un gruppo più ristretto sono finiti nelle mani sbagliate anche i dati del passaporto, il telefono e i dettagli del programma fedeltà. Nessuna compagnia ha pubblicato un totale complessivo. Un passeggero che legge l'avviso di una sola compagnia non riesce a capire quanto sia ampia la vicenda. Resta aperto se Amadeus pubblichi una propria dichiarazione sull'ambito dell'incidente e cosa faranno le autorità di vigilanza.

Singapore Airlines mette un numero

Per circa 620 delle 46.000 registrazioni l'incidente ha esposto più dati. Un portavoce ha detto ad AsiaOne e al The Straits Times che un soggetto non autorizzato potrebbe aver consultato anche indirizzi email, numeri di telefono, dati dei documenti di viaggio e numeri di iscrizione KrisFlyer.

Amadeus ha confermato che l'incidente non ha esposto informazioni su conti bancari o carte di credito e non ha modificato alcuna prenotazione. Singapore Airlines ha affermato che l'incidente è rimasto all'interno della piattaforma Amadeus. Nessuno ha violato i sistemi informatici della compagnia. La compagnia sta contattando i clienti coinvolti con viaggi in programma per cambiare i numeri di riferimento della prenotazione. Dice di aver informato le autorità competenti.

Un fornitore, molte compagnie, nessun totale

Cathay Pacific ha dichiarato che l'incidente ha coinvolto circa 53.000 prenotazioni. La maggior parte di queste registrazioni conteneva riferimenti di prenotazione, nomi dei passeggeri e dettagli del volo. Japan Airlines e Japan Transocean Air hanno segnalato circa 92.000 clienti coinvolti. All Nippon Airways ha indicato circa 37.800 clienti, tra cui 1.700 le cui registrazioni contenevano informazioni personali aggiuntive.

Malaysia Airlines ha dichiarato che l'incidente potrebbe aver riguardato informazioni trattate tramite Amadeus tra agosto 2023 e settembre 2026. Non ha fornito un numero di clienti. Korean Air e Asiana Airlines hanno segnalato accessi non autorizzati. Nessuna delle due ha detto quanti clienti siano stati coinvolti. Qantas non ha pubblicato cifre. Ha dichiarato di lavorare con Amadeus per stabilire se l'incidente abbia compromesso le informazioni di prenotazione dei suoi passeggeri.

I numeri non tornano, e non per arrotondamenti. Cathay conta le prenotazioni, mentre le compagnie giapponesi contano i clienti. Una singola prenotazione può coprire più viaggiatori, quindi sommarli non darebbe un totale affidabile di passeggeri.

Come è avvenuto l'accesso

Secondo la ricostruzione di Cathay Pacific, un soggetto non autorizzato ha usato credenziali di accesso assegnate a un account di sistema Amadeus per raggiungere i dati delle prenotazioni. Amadeus ha descritto una vulnerabilità che riguardava un ambiente di visualizzazione delle prenotazioni di viaggio. La vulnerabilità rendeva accessibili alcuni dati della visualizzazione delle prenotazioni.

L'azienda dice di aver corretto la vulnerabilità e rafforzato il monitoraggio e il rilevamento. Dice anche che non ci sono prove che qualcuno abbia consultato dati di pagamento o finanziari. Non ha trovato indizi che qualcuno abbia sfruttato il difetto per un ransomware.

Le notifiche sono arrivate a ondate. Cathay Pacific ha ricevuto l'avviso il 28 ottobre e ulteriori dettagli il giorno dopo. Qantas ha dichiarato che Amadeus le ha comunicato di aver contenuto il problema a settembre 2026. Qantas ha affermato che i propri sistemi e database restano sicuri.

Un bis per Singapore Airlines

Singapore Airlines ci è già passata. Secondo le notizie, l'incidente Amadeus è la terza violazione di dati che colpisce la compagnia da febbraio 2021. La prima è arrivata quell'anno. Una violazione presso la società di IT per il trasporto aereo Sita ha compromesso numeri di iscrizione e livello di status di 580.000 membri KrisFlyer e PPS. Nel 2022 un attacco di phishing ha colpito KrisShop, il rivenditore di bordo della compagnia, ed esposto i dati di 4.749 clienti.

Le 46.000 registrazioni di questa vicenda sono meno della cifra del 2021. La differenza sta nel percorso: questa volta i dati si trovavano presso un fornitore condiviso da molte compagnie.

Cosa resta aperto

Il numero totale dei clienti coinvolti in tutte le compagnie resta sconosciuto. Malaysia Airlines non ha detto quanti clienti siano stati coinvolti né quali categorie di dati personali siano state toccate. Amadeus non ha risposto a una domanda del The Straits Times su quanti dati abbia riguardato l'incidente. Gli avvisi delle compagnie indicano un fornitore comune. Non dimostrano che ogni compagnia abbia usato la stessa applicazione o lo stesso account compromesso.

Diverse compagnie coinvolte hanno consigliato ai clienti di fare attenzione a email sospette, telefonate fraudolente e altri messaggi che chiedono informazioni personali o finanziarie. Amadeus afferma che le indagini proseguono. Dice di essere in contatto diretto con i clienti e con le autorità competenti.