Wyciek w Amadeusie: 46 000 rekordów rezerwacji Singapore Airlines, przewoźnicy liczą straty

Straits Times podał 3 listopada, że w wycieku u dostawcy technologii turystycznych Amadeus nielegalnie uzyskano dostęp do około 46 000 rekordów rezerwacji Singapore Airlines. Ta liczba czyni SIA jednym z największych ujawnionych dotąd poszkodowanych. Pojawia się trzy dni po tym, jak Cathay Pacific podało własne 53 000 rezerwacji.

Bangkok Post podał liczbę Cathay 30 października, a IDNFinancials powtórzył ją w tym samym tygodniu. Żaden z przewoźników nie powiedział, do jakich pól dotarli napastnicy. Amadeus nie opublikował technicznego opisu luki. Wzorzec wśród przewoźników jest spójny: każda linia ujawnia fragment wspólnego systemu rezerwacji, nad którym nie ma kontroli. 53 000 Cathay i 46 000 SIA to rekordy rezerwacji, niekoniecznie pasażerowie. Obu liczb nie da się wprost porównać, dopóki nie wiadomo, jak każdy przewoźnik liczy rekord. Każde dotychczasowe ujawnienie pomija to samo: które pola danych faktycznie odczytano.

Qantas potwierdził, że bada możliwe ujawnienie danych rezerwacji, według Airways Magazine z 2 listopada. Malaysia Airlines poinformowały klientów, że mogą być dotknięci, podał Bangkok Post 1 listopada. PenangToday i KLSE Screener opublikowały oświadczenie linii, że jej własne systemy informatyczne pozostały nietknięte.

To rozróżnienie ma znaczenie: przewoźnik twierdzi, że naruszenie dotyczyło dostawcy, a nie jego sieci. Japan Airlines pojawiają się na liście poszkodowanych przewoźników w materiałach InfotechLead i innych. Nie opublikowano dla nich żadnej liczby rezerwacji. Dziewięć dni po pierwszych ujawnieniach publiczny bilans jest wciąż niepełny.

Trzy lata, jedna luka

Najbardziej dotkliwy szczegół to czas trwania. PYOK podał 30 października, że wyciek u dostawcy oprogramowania obsługującego rezerwacje dla setek międzynarodowych linii lotniczych trwał trzy lata. Shattered.io opisał lukę jako obejmującą 38 miesięcy danych linii lotniczych. Amadeus naprawił od tego czasu lukę, według NST Online, który podał informację o poprawce 2 listopada.

Firma nie wyjaśniła, jak dostęp pozostawał niewykryty przez tak długi czas. Żaden serwis nie opublikował przyczyny źródłowej.

"Vendor cyber risk in focus as Amadeus breach hits airlines globally" brzmiał nagłówek Insurance Business z 2 listopada, który ujmuje sprawę tak, jak zaczyna widzieć ją rynek ubezpieczeń.

To ujęcie nie jest retoryczne. Platforma rezerwacyjna stoi między linią lotniczą a jej klientem. Przechowuje numery paszportów, dane kontaktowe i trasy podróży, a każdy przewoźnik, który się do niej podłącza, ma do niej dostęp. Gdy zawodzi, awaria nie ogranicza się do jednej marki. Przewoźnicy, którzy od niej kupują, dziedziczą ekspozycję, choć sami nigdy nie mają tych danych.

Co przewoźnicy mówią pasażerom

Malaysia Airlines ostrzegły klientów po wycieku, według materiałów opublikowanych między innymi przez VnExpress International i Bangkok Post. Qantas 2 listopada wciąż opisywał swoje dochodzenie jako wstępne, podał Airways Magazine. W tym momencie linia nie potwierdziła zakresu jakiegokolwiek ujawnienia. News.com.au podał 2 listopada, że Qantas i inne duże linie lotnicze zostały wciągnięte w incydent. News24 podał tego samego dnia, że dotyczy to przewoźników latających do i z lotnisk w Australii.

Tekst Business Traveller z 2 listopada odpowiadał na pytanie, które pasażerowie faktycznie zadają: czy uzyskano dostęp do ich danych o locie.

Dla podróżnych praktyczna rada pozostaje bez zmian i bez blasku. Uważajcie na phishing, który podaje prawdziwy numer rezerwacji, bo właśnie takie dane krążą teraz. Ani Amadeus, ani wymienieni tu przewoźnicy nie ujawnili, do ilu łącznie rekordów dotarto. Każda pojedyncza liczba to wynik jednej linii, nie rozmiar incydentu. Travel Daily News International podał 3 listopada, że Paxport i ITT opublikowały poradnik o ryzykach związanych z łącznością linii lotniczych. Odpowiedź branży zmierza raczej ku listom kontrolnym przy zakupach niż ku szczegółom incydentu.

Nierozstrzygnięte pozostaje pytanie o umowy. Linie lotnicze kupują usługi rezerwacyjne od kilku dostawców. Ujawnienia SIA i Cathay pokazują, jak szybko jedna wada dostawcy staje się zdarzeniem ujawnianym przez wielu przewoźników. Amadeus i prowadzące dochodzenia organy nie opublikowały jeszcze, co działo się między pierwszym nieautoryzowanym dostępem a poprawką. Dopóki tego nie zrobią, liczba 38 miesięcy pozostaje najpoważniejszym faktem w tej sprawie i najmniej wyjaśnionym.