Amadeus: lista poszkodowanych rośnie, Singapore Airlines liczy 46 000 rekordów

Incydent mógł ujawnić imię i nazwisko, trasę podróży oraz klasę rezerwacji każdemu, kto rezerwował u dotkniętego przewoźnika między sierpniem 2023 a wrześniem 2026 roku. W mniejszej grupie wyciekły też dane paszportu, numer telefonu i dane programu lojalnościowego. Żaden przewoźnik nie podał łącznej liczby. Pasażer czytający komunikat jednej linii lotniczej nie widzi, jak szeroki jest incydent. Wciąż nie wiadomo, czy Amadeus opublikuje własne oświadczenie o zakresie i co zrobią regulatorzy.

Singapore Airlines podają liczbę

W około 620 z 46 000 rekordów ujawniono więcej danych. Rzecznik powiedział AsiaOne i The Straits Times, że osoba nieuprawniona mogła uzyskać także adresy e-mail, numery telefonów, dane dokumentów podróży i numery członkowskie KrisFlyer.

Amadeus potwierdził, że incydent nie ujawnił danych konta bankowego ani karty kredytowej i nie zmienił żadnej rezerwacji. Singapore Airlines podały, że incydent pozostał w granicach platformy Amadeusa. Nikt nie włamał się do systemów informatycznych samej linii. Przewoźnik kontaktuje się z poszkodowanymi klientami, którzy mają zaplanowane podróże, żeby zmienili numery referencyjne rezerwacji. Twierdzi, że powiadomił właściwe organy.

Jeden dostawca, wielu przewoźników, brak sumy

Cathay Pacific podały, że incydent dotyczył około 53 000 rezerwacji. W większości tych rekordów były numery referencyjne rezerwacji, nazwiska pasażerów i szczegóły lotu. Japan Airlines i Japan Transocean Air zgłosiły około 92 000 poszkodowanych klientów. All Nippon Airways podały około 37 800 klientów, w tym 1 700, których rekordy zawierały dodatkowe dane osobowe.

Malaysia Airlines podały, że incydent mógł dotyczyć informacji przetwarzanych przez Amadeusa między sierpniem 2023 a wrześniem 2026 roku. Nie podały liczby klientów. Korean Air i Asiana Airlines zgłosiły nieuprawniony dostęp. Żadna z nich nie podała, ilu klientów dotyczy incydent. Qantas nie opublikował liczby. Podał, że pracuje z Amadeusem, żeby ustalić, czy incydent naruszył dane rezerwacyjne któregokolwiek z jego pasażerów.

Liczby się nie sumują i nie chodzi o zaokrąglenia. Cathay liczy rezerwacje, a japońscy przewoźnicy liczą klientów. Jedna rezerwacja może obejmować kilka osób, więc ich zsumowanie nie da wiarygodnej liczby pasażerów.

Jak doszło do dostępu

Według relacji Cathay Pacific osoba nieuprawniona użyła danych logowania przypisanych do konta systemowego Amadeusa, żeby dotrzeć do danych rezerwacyjnych. Amadeus opisał lukę w środowisku wyświetlania rezerwacji podróży. Luka sprawiała, że część danych z ekranu rezerwacji była dostępna.

Firma twierdzi, że naprawiła lukę i wzmocniła monitorowanie oraz wykrywanie. Twierdzi też, że nie ma dowodów, by ktokolwiek uzyskał dane płatnicze lub finansowe. Nie znalazła oznak, by ktoś wykorzystał błąd do ataku ransomware.

Powiadomienia szły falami. Cathay Pacific otrzymały informację 28 października, a następnego dnia dostały kolejne szczegóły. Qantas podał, że Amadeus poinformował przewoźnika o opanowaniu problemu we wrześniu 2026 roku. Qantas twierdzi, że jego własne systemy i bazy danych pozostają bezpieczne.

Powtórka dla Singapore Airlines

Singapore Airlines już przez to przechodziły. Według doniesień incydent w Amadeusie to trzecie naruszenie danych dotykające przewoźnika od lutego 2021 roku. Pierwsze zdarzyło się w tym roku. Włamanie w firmie informatycznej Sita, obsługującej transport lotniczy, ujawniło numery członkowskie i statusy 580 000 członków KrisFlyer i PPS. W 2022 roku atak phishingowy uderzył w sklep pokładowy przewoźnika KrisShop i ujawnił dane 4 749 klientów.

46 000 rekordów to mniej niż liczba z 2021 roku. Różnica jest w drodze: tym razem dane leżały u dostawcy, którego używa wiele linii lotniczych.

Co pozostaje otwarte

Łączna liczba poszkodowanych klientów wszystkich przewoźników wciąż jest nieznana. Malaysia Airlines nie podały, ilu klientów dotyczy incydent ani jakich kategorii danych osobowych. Amadeus nie odpowiedział na pytanie The Straits Times, jakiej ilości danych dotyczył incydent. Komunikaty przewoźników wskazują wspólnego dostawcę. Nie dowodzą, że każda linia korzystała z tej samej dotkniętej aplikacji lub konta.

Kilka dotkniętych linii lotniczych radzi klientom uważać na podejrzane e-maile, oszukańcze telefony i inne wiadomości z prośbą o dane osobowe lub finansowe. Amadeus twierdzi, że jego postępowania trwają. Podał, że pozostaje w bezpośrednim kontakcie z klientami i właściwymi organami.