Violazione delle prenotazioni Amadeus: cosa hanno comunicato finora le compagnie aeree

Il 3 novembre lo Straits Times ha riportato che i 46.000 record di Singapore Airlines erano legati al difetto di Amadeus. È il dato più recente in una vicenda che va avanti da giorni. Ed è anche il segnale più chiaro che non si tratta di un episodio isolato di una sola compagnia. Il problema riguarda un fornitore condiviso.

Amadeus gestisce una piattaforma di prenotazione usata da centinaia di vettori. Diverse fonti riferiscono che una vulnerabilità in quella piattaforma è rimasta non rilevata per molto tempo. shattered.io ha descritto l'esposizione come estesa su 38 mesi di dati delle compagnie aeree. PYOK, citato nella rassegna aggregata, ha parlato di una vicenda lunga tre anni. Amadeus ha poi corretto il difetto, secondo quanto riportato da NST Online il 2 novembre. Manca ancora una ricostruzione autorevole unica di quanti passeggeri siano stati coinvolti e di cosa sia stato esattamente prelevato. Ogni compagnia ha comunicato con i propri tempi e i propri numeri. Alcune hanno sottolineato che i loro sistemi non sono stati toccati.

Cathay Pacific e le 53.000 prenotazioni

Tra i grandi vettori Cathay Pacific è stata la prima a dare un numero: 53.000 prenotazioni compromesse, secondo il Bangkok Post del 2 novembre. Anche IDNFinancials e Aviation A2Z hanno riportato quella cifra. La comunicazione ha inquadrato l'episodio come un attacco informatico al fornitore, non alla compagnia. Questo conta per come i passeggeri devono leggere gli avvisi.

Malaysia Airlines ha scelto una linea pubblica diversa. La compagnia ha dichiarato che i propri sistemi IT non sono stati colpiti dalla violazione di Amadeus, secondo PenangToday del 2 novembre. Ha ammesso che i clienti potrebbero comunque essere coinvolti, riferisce il Bangkok Post. The Star ha citato la compagnia, che ha detto che il proprio sistema non è stato compromesso nonostante la violazione informatica del fornitore.

Le due dichiarazioni non si contraddicono, ma si leggono facilmente male. L'infrastruttura di una compagnia può essere pulita mentre lo strato di prenotazione che affitta da un fornitore non lo è. Qantas, intanto, stava ancora verificando una possibile esposizione dei dati di prenotazione, secondo Airways Magazine del 2 novembre. News.com.au ha inserito Qantas tra diverse grandi compagnie colpite dalla violazione. News24 ha osservato che sono coinvolti vettori in arrivo e in partenza dagli aeroporti australiani. Japan Airlines compare nella rassegna tra le compagnie coinvolte nell'episodio, secondo il riepilogo pubblicato il 2 novembre.

Perché un solo fornitore arriva a tante compagnie

I sistemi di prenotazione sono la parte meno visibile e più condivisa dell'IT di una compagnia aerea. Un passeggero compra un biglietto da un marchio. Ma il record di prenotazione spesso vive in una piattaforma gestita da terzi che serve decine di marchi insieme. Quando quello strato cede, il raggio dell'impatto è determinato dall'elenco clienti del fornitore. Non lo decide il budget di sicurezza di una singola compagnia.

È il punto strutturale dietro il titolo di Insurance Business del 2 novembre. Il giornale ha messo al centro il rischio informatico dei fornitori mentre la violazione colpiva compagnie aeree in tutto il mondo. PhocusWire ha riportato lo stesso giorno che erano coinvolti più partner aerei. Lo schema è noto in altri settori: l'anello debole raramente è il marchio stampato sulla carta d'imbarco.

Amadeus ha corretto la vulnerabilità, secondo NST Online, ma le comunicazioni delle singole compagnie hanno continuato ad arrivare nei giorni successivi.

Per i viaggiatori le domande pratiche sono più ristrette. Quali record sono stati aperti, quali campi contenevano, e un record di prenotazione compromesso crea un rischio di frode o di appropriazione dell'account? La maggior parte delle comunicazioni finora non risponde a tutte e tre. La cifra di 53.000 di Cathay e quella di 46.000 di Singapore Airlines sono conteggi di prenotazioni, non necessariamente di persone. Una sola prenotazione può coprire una famiglia.

C'è anche un problema di tempi. Se l'esposizione è davvero durata 38 mesi, come ha riportato shattered.io, alcuni passeggeri coinvolti potrebbero aver viaggiato e dimenticato del tutto il viaggio. Le compagnie che avvisano solo i clienti recenti potrebbero lasciare senza informazioni i più vecchi. La finestra di notifica di 180 giorni che si applica ad alcuni gestori di piattaforme in altri contesti non si adatta bene a questo caso. Nessuna delle fonti stabilisce uno standard di notifica unico tra le compagnie.

Il modo in cui le informazioni sono uscite è la storia

Guardate il calendario. Il numero di Cathay è emerso intorno al 30 ottobre, secondo il South China Morning Post. La dichiarazione di Malaysia Airlines è arrivata tra l'1 e il 2 novembre. Qantas stava ancora verificando il 2 novembre. I 46.000 di Singapore Airlines sono arrivati il 3 novembre. È un rilascio lento e scaglionato, con ogni compagnia che calibra il proprio messaggio. Nessuno ha pubblicato un conteggio consolidato.

Il 2 novembre Business Traveller si è chiesto se gli hacker avessero avuto accesso ai dettagli dei voli. È la domanda che interessa davvero alla maggior parte dei passeggeri. La risposta onesta che emerge dai documenti pubblici è: presso alcune compagnie sì, in qualche forma; presso altre l'indagine è in corso. L'insistenza di Malaysia Airlines sul fatto che i suoi sistemi non sono stati toccati, riportata da KLSE Screener e PenangToday, è un promemoria utile. "Coinvolto" in queste vicende può significare cose diverse.

Nulla di tutto questo è esclusivo del settore dei viaggi. Lo stesso rischio di concentrazione su terzi compare nei pagamenti, nelle buste paga e nel cloud hosting. Ciò che rende distintive le prenotazioni aeree sono i dati: nomi, recapiti, itinerari e a volte altro. Quei dati sono conservati per milioni di persone che non hanno mai scelto il fornitore.

Amadeus non ha pubblicato un resoconto completo dell'episodio. Finché non lo farà, i numeri continueranno ad arrivare una compagnia alla volta.