La violazione Amadeus tocca 46.000 record di Singapore Airlines, le compagnie contano i danni

Lo Straits Times ha riferito il 3 novembre che circa 46.000 record di prenotazione di Singapore Airlines sono stati consultati illegalmente nella violazione avvenuta presso Amadeus, fornitore di tecnologia per i viaggi. Con quel numero SIA diventa una delle vittime più grandi finora dichiarate. La notizia arriva tre giorni dopo che Cathay Pacific aveva fissato il proprio conteggio a 53.000 prenotazioni.

Il Bangkok Post ha riportato il dato di Cathay il 30 ottobre e IDNFinancials lo ha ripreso la stessa settimana. Nessuna delle due compagnie ha detto quali campi abbiano raggiunto gli attaccanti. Amadeus non ha pubblicato una ricostruzione tecnica della falla. Lo schema tra i vettori è costante: ogni compagnia dichiara una fetta di un sistema di prenotazione condiviso che non controlla. I 53.000 di Cathay e i 46.000 di SIA sono record di prenotazione, non necessariamente passeggeri. I due numeri non sono direttamente confrontabili senza sapere come ciascuna compagnia conta un record. Ogni dichiarazione finora omette la stessa cosa: quali campi di dati siano stati effettivamente letti.

Qantas ha confermato di indagare su una possibile esposizione dei dati di prenotazione, secondo Airways Magazine del 2 novembre. Malaysia Airlines ha avvisato i clienti che potrebbero essere coinvolti, ha riferito il Bangkok Post il 1 novembre. PenangToday e KLSE Screener hanno entrambi ripreso la dichiarazione della compagnia secondo cui i suoi sistemi IT sono rimasti intatti.

La distinzione conta: la compagnia dice che la compromissione era in capo al fornitore, non dentro la sua rete. Japan Airlines compare nell'elenco delle compagnie colpite nei servizi di InfotechLead e altri. Per essa non è stato pubblicato alcun numero di prenotazioni. Nove giorni dopo le prime dichiarazioni, il bilancio pubblico è ancora parziale.

Tre anni, una vulnerabilità

Il dettaglio più grave è la durata. PYOK ha riferito il 30 ottobre che la violazione presso il fornitore di software che gestisce le prenotazioni per centinaia di compagnie internazionali è andata avanti per tre anni. Shattered.io ha descritto la falla come un'ombra su 38 mesi di dati delle compagnie aeree. Amadeus ha poi corretto la vulnerabilità, secondo NST Online, che ha riportato la correzione il 2 novembre.

L'azienda non ha spiegato come l'accesso sia rimasto non rilevato per tutto quel tempo. Nessuna testata ha pubblicato la causa profonda.

"Vendor cyber risk in focus as Amadeus breach hits airlines globally" era il titolo di Insurance Business il 2 novembre, che inquadra la vicenda come il mercato assicurativo comincia a vederla.

L'inquadratura non è retorica. Una piattaforma di prenotazione sta tra la compagnia e il suo cliente. Contiene numeri di passaporto, recapiti e itinerari, e ogni compagnia che vi si collega può raggiungerla. Quando cede, il guasto non resta confinato a un solo marchio. Le compagnie che la acquistano ereditano l'esposizione senza aver mai tenuto i dati in proprio.

Cosa dicono le compagnie ai passeggeri

Malaysia Airlines ha avvisato i clienti dopo la violazione, secondo servizi ripresi tra gli altri da VnExpress International e dal Bangkok Post. Qantas il 2 novembre descriveva ancora la propria indagine come preliminare, secondo Airways Magazine. A quel punto la compagnia non aveva confermato l'ampiezza di alcuna esposizione. News.com.au ha riferito il 2 novembre che Qantas e altre grandi compagnie erano state coinvolte nell'incidente. News24 ha riferito lo stesso giorno che erano colpite le compagnie in arrivo e in partenza dagli aeroporti australiani.

L'articolo di Business Traveller del 2 novembre affrontava la domanda che i passeggeri fanno davvero: se i loro dettagli di volo siano stati consultati.

Per i viaggiatori il consiglio pratico è invariato e poco allettante. Attenzione al phishing che cita un vero codice di prenotazione, perché è esattamente il dato che ora circola. Né Amadeus né le compagnie qui nominate hanno dichiarato quanti record in totale siano stati raggiunti. Qualsiasi numero singolo è il conteggio di una compagnia, non la dimensione dell'incidente. Travel Daily News International ha riferito il 3 novembre che Paxport e ITT hanno pubblicato una guida sui rischi di connettività delle compagnie aeree. La risposta del settore va verso liste di controllo per gli acquisti più che verso i dettagli dell'incidente.

La questione irrisolta è contrattuale. Le compagnie comprano servizi di prenotazione da una manciata di fornitori. Le dichiarazioni di SIA e Cathay mostrano quanto in fretta la falla di un solo fornitore diventi un evento dichiarativo multi-compagnia. Amadeus e le autorità che indagano non hanno ancora pubblicato cosa sia accaduto tra il primo accesso non autorizzato e la correzione. Finché non lo faranno, il dato dei 38 mesi resta il fatto più serio della vicenda, e il meno spiegato.