Singapurski regulator ochrony danych bada wyciek w Amadeus. Przybywa linii lotniczych

Wyciek mógł ujawnić nazwiska, numery rezerwacji i trasy podróży osób, które rezerwowały bilety u przewoźników korzystających z Amadeusa między sierpniem 2023 a wrześniem 2026 roku. W mniejszej grupie ujawniono więcej danych.

Punkt dostępu leżał poza sieciami samych linii. To wyjaśnia, dlaczego kilku przewoźników ujawniło sprawę w ciągu paru dni od siebie. Tłumaczy też, dlaczego każde oświadczenie zapewnia, że systemy wewnętrzne pozostały bezpieczne.

Singapore Airlines podają liczbę

Singapore Airlines poinformowały 3 listopada, że dostęp uzyskano do danych z około 46 000 rekordów rezerwacji. Wymieniły nazwiska klientów, numery referencyjne rezerwacji, trasy podróży i klasy rezerwacji. W około 620 rekordach wyciek mógł objąć także adresy e-mail, numery telefonów, dane dokumentów podróży i numery członkowskie KrisFlyer. Amadeus potwierdził, że ujawnione dane nie zawierały numerów kont bankowych ani kart kredytowych. Potwierdził też, że wyciek nie zmienił żadnej rezerwacji. Linia kontaktuje się z klientami, którzy mają zaplanowane podróże, żeby zmienili numery referencyjne rezerwacji. Twierdzi, że powiadomiła właściwe organy.

Jeden dostawca, kilka różnych liczb

Cathay Pacific podały własną liczbę: około 53 000 rezerwacji. W większości znalazły się numery rezerwacji, nazwiska pasażerów i szczegóły lotów. Japan Airlines i Japan Transocean Air zgłosiły około 92 000 poszkodowanych klientów. All Nippon Airways przekazały, że wyciek dotyczył około 37 800 klientów. W około 36 100 przypadkach wyciek mógł ujawnić nazwiska, numery rezerwacji, daty podróży, trasy i klasy kabin. W około 1700 przypadkach mógł objąć numery paszportów, obywatelstwo i dane kontaktowe. ANA zaznaczyły, że wyciek nie obejmował numerów kart kredytowych ani haseł do kont.

Te liczby nie sumują się do jednej całości. Cathay liczy rezerwacje, japońscy przewoźnicy liczą klientów. Amadeus nie opublikował łącznej liczby.

Jak doszło do dostępu

Cathay Pacific podały, że nieuprawniony dostęp nastąpił z użyciem danych logowania przypisanych do konta systemowego w Amadeusie. Amadeus powiadomił linię 28 października. Następnego dnia przekazał dalsze szczegóły. Amadeus podał, że przez podatność dostępne były pewne dane z podglądu rezerwacji. Zaznaczyła też, że nie widzi oznak użycia ransomware z wykorzystaniem tej luki. Cathay podały, że działania ograniczające objęły reset hasła.

Cathay Pacific podały, że Amadeus nie znalazł dowodów na wykorzystanie ujawnionych danych.

Malaysia Airlines nie podała, ilu klientów dotyczył incydent.

Amadeus twierdzi, że pozostaje w bezpośrednim kontakcie ze swoimi klientami i właściwymi organami.

Qantas i przewoźnicy, którzy wciąż liczą

Qantas podał, że Amadeus poinformował o opanowaniu problemu we wrześniu. Linia pracuje z dostawcą nad ustaleniem wpływu na rezerwacje Qantasa. Przewoźnik zapewnił, że jego systemy i bazy danych pozostają bezpieczne. Podał, że powiadomił Australijskie Centrum Cyberbezpieczeństwa i Biuro ds. Cyberbezpieczeństwa Narodowego. Nie potwierdził żadnego dostępu do swoich danych pasażerów.

Korean Air i Asiana Airlines otrzymały powiadomienie 20 października. Nie ujawniły, ilu klientów dotyczył wyciek. Malaysia Airlines podała, że wyciek nie naruszył jej własnych systemów informatycznych. Zaznaczyła, że nie znalazła dowodów na dostęp do informacji finansowych. Singapore Airlines podały, że incydent pozostał w granicach platformy Amadeusa.

Malaysia Airlines nazywa Amadeusa swoim dostawcą technologii rezerwacyjnych. ANA i dwaj japońscy przewoźnicy określają go jako dostawcę systemu obsługi pasażerów.

Co dalej

Singapurska Komisja Ochrony Danych Osobowych podała, że jej postępowanie trwa. Amadeus twierdzi, że jego własne dochodzenia nadal się toczą.

Kilka dotkniętych linii ostrzegło klientów, żeby uważali na podejrzane e-maile i telefony z prośbami o dane osobowe lub finansowe.