Il garante della privacy di Singapore indaga sulla violazione Amadeus, mentre cresce il numero delle compagnie coinvolte

La violazione potrebbe aver esposto nomi, codici di prenotazione e itinerari dei viaggiatori che hanno prenotato tra agosto 2023 e settembre 2026 su compagnie che usano Amadeus. Un gruppo più ristretto ha subito un'esposizione maggiore.

Il punto di accesso era fuori dalle reti delle compagnie aeree. Per questo diverse compagnie hanno comunicato la violazione a pochi giorni di distanza l'una dall'altra. Per lo stesso motivo ogni dichiarazione insiste sul fatto che i sistemi interni hanno tenuto.

Singapore Airlines quantifica l'impatto

Il 3 novembre SIA ha dichiarato che sono stati consultati i dati di circa 46.000 prenotazioni. L'elenco comprende nomi dei clienti, codici di prenotazione, itinerari di viaggio e classi di prenotazione. Per circa 620 prenotazioni la violazione potrebbe aver esposto anche indirizzi email, numeri di telefono, dati dei documenti di viaggio e numeri di iscrizione a KrisFlyer. Amadeus ha confermato che i dati esposti non includevano informazioni su conti bancari o carte di credito, e che la violazione non ha modificato alcuna prenotazione. La compagnia sta contattando i clienti con viaggi in programma per cambiare i codici di prenotazione e afferma di aver informato le autorità competenti.

Un fornitore, cifre diverse

Cathay Pacific ha indicato un proprio dato: circa 53.000 prenotazioni. La maggior parte conteneva codici di prenotazione, nomi dei passeggeri e dettagli dei voli. Japan Airlines e Japan Transocean Air hanno segnalato circa 92.000 clienti coinvolti. All Nippon Airways ha dichiarato che la violazione ha riguardato circa 37.800 clienti. Per circa 36.100 potrebbero essere stati esposti nomi, codici di prenotazione, date di viaggio, rotte e classi di cabina. Per circa 1.700 potrebbero essere stati esposti numeri di passaporto, nazionalità e recapiti. ANA ha precisato che la violazione non ha coinvolto numeri di carte di credito né password degli account.

Queste cifre non compongono un totale. Cathay conta le prenotazioni, mentre le compagnie giapponesi contano i clienti. Amadeus non ha pubblicato un numero complessivo.

Come è avvenuto l'accesso

Cathay Pacific ha dichiarato che l'accesso non autorizzato ha riguardato credenziali di accesso assegnate a un account di sistema Amadeus. Amadeus ha avvisato la compagnia il 28 ottobre e il giorno successivo ha fornito ulteriori dettagli. Secondo Amadeus, alcuni dati di visualizzazione delle prenotazioni erano accessibili attraverso la vulnerabilità. La società ha anche affermato di non aver visto indicazioni di uso di ransomware legato al difetto. Cathay ha riferito che tra le misure di contenimento c'è stato il reset delle password.

Cathay Pacific ha dichiarato che Amadeus non ha individuato prove di uso improprio dei dati coinvolti.

Malaysia Airlines non ha reso noto quanti clienti siano stati coinvolti.

Amadeus afferma di essere in contatto diretto con i propri clienti e con le autorità competenti.

Qantas e le compagnie che stanno ancora contando

Qantas ha dichiarato che Amadeus l'ha informata di aver contenuto il problema a settembre. La compagnia sta lavorando con il fornitore per stabilire l'impatto su eventuali prenotazioni Qantas. Ha precisato che i propri sistemi e database restano sicuri, e di aver informato l'Australian Cyber Security Centre e l'Office of National Cyber Security. Non ha confermato alcun accesso ai propri dati dei passeggeri.

Korean Air e Asiana Airlines hanno ricevuto la notifica il 20 ottobre. Non hanno reso noto quanti clienti siano stati coinvolti. Malaysia Airlines ha dichiarato che la violazione non ha compromesso i propri sistemi informatici e di non aver trovato prove di accesso a informazioni finanziarie. Singapore Airlines ha affermato che l'incidente è rimasto all'interno della piattaforma Amadeus.

Malaysia Airlines definisce Amadeus il proprio fornitore di tecnologia per le prenotazioni. ANA e le due compagnie giapponesi lo descrivono come fornitore del sistema di servizio passeggeri.

Cosa succede ora

La Personal Data Protection Commission di Singapore ha dichiarato che l'indagine è in corso. Amadeus afferma che le proprie verifiche proseguono.

Diverse compagnie coinvolte hanno invitato i clienti a fare attenzione a email e telefonate sospette che chiedono informazioni personali o finanziarie.