Aviación Digital, Sp.- La aerolínea de Hong Kong informó el 31 de octubre de que un tercero no autorizado accedió a datos de reservas almacenados en Amadeus. El episodio se suma a los avisos de otras aerolíneas asiáticas durante las últimas dos semanas y vuelve a poner el foco en el riesgo que supone para el transporte aéreo depender de terceros en su cadena digital.
Qué ha comunicado Cathay Pacific
Según el comunicado recogido por la prensa especializada, Cathay Pacific fue avisada por Amadeus el 28 de octubre y recibió más detalles al día siguiente. Los registros afectados fueron creados entre agosto de 2023 y septiembre de 2026 y corresponden a unas 53.000 reservas de la compañía.
La aerolínea explica que el acceso se produjo mediante credenciales asignadas a una cuenta de sistema de Amadeus IT Group. Subraya que sus propios sistemas y sus operaciones de vuelo no se vieron afectados y que ha informado a las autoridades competentes. También indica que revisa la información facilitada por el proveedor para identificar a los clientes concernidos y que se pondrá en contacto con ellos de forma individual cuando lo haya confirmado.
Qué datos pudieron quedar expuestos
En la mayoría de los casos se trata de localizadores de reserva, nombres de pasajeros y datos de vuelo, información que permite reconstruir el itinerario de un viajero. En un número menor de registros pudieron verse además direcciones de correo electrónico, teléfonos, datos de documentos de viaje y números de viajero frecuente. Cathay no ha indicado cuántas reservas entran en este segundo grupo.
La compañía afirma no tener indicios de que se haya comprometido información de pago o financiera. Por su parte, Amadeus ha restablecido la contraseña afectada, ha reforzado la vigilancia y la detección y asegura que, por ahora, no ha encontrado evidencias de que los datos consultados se hayan utilizado de forma indebida.
Otras aerolíneas, avisos parecidos
Japan Airlines (JAL) publicó su aviso el 28 de octubre. Según The Record, Amadeus le comunicó la semana anterior que unos atacantes habían accedido a una parte de los datos de reservas de JAL y de Japan Transocean Air: unos 92.000 clientes, con nombres, códigos de reserva e información de vuelo. En alrededor de 2.000 clientes de JAL se añadían números de pasaporte, de viajero frecuente, correos y teléfonos. JAL asegura que ni las operaciones de vuelo ni los números de tarjeta se vieron afectados y recomienda estar atento a correos fraudulentos, llamadas y webs que suplanten a la compañía.
En el caso de All Nippon Airways (ANA), la información disponible la cifra en unas 37.800 personas, aunque los medios advierten de que las cifras de cada compañía no deben sumarse como un total confirmado. Korean Air y Asiana Airlines también notificaron un acceso no autorizado a través de una cuenta de sistema de Amadeus: Amadeus avisó a Korean Air el 20 de octubre y ambas aerolíneas lo confirmaron a la prensa el día 23. Korean Air confirmó localizadores de reserva (PNR) y Asiana señaló que no había información de pago.
Un segundo episodio, sin vínculo confirmado
Un análisis publicado a finales de octubre recoge además que el medio alemán heise online informó el 13 de octubre de una vulnerabilidad en un entorno de consulta de reservas de Amadeus, con registros de Lufthansa y Condor entre los revisados. Amadeus declaró que podían haber sido accesibles ciertos datos de reserva, pero no datos de pago, y que el fallo está corregido. Las fuentes consultadas no indican si este episodio y los avisos asiáticos están relacionados, ni se ha publicado un recuento de afectados.
Por qué importa al sector
Los sistemas de distribución y reservas concentran datos de millones de viajeros de decenas de aerolíneas. Un acceso con credenciales de una cuenta de sistema, y no una intrusión en la red de la propia aerolínea, ilustra que la seguridad de un operador depende también de la de sus proveedores. Para los pasajeros, el riesgo práctico más inmediato es el phishing: un localizador junto a un nombre y un itinerario bastan para construir mensajes creíbles.
Queda por conocer el alcance real en el conjunto de clientes de Amadeus, la causa de la exposición de las credenciales y las medidas que adoptarán las autoridades de protección de datos. Aviación Digital seguirá el asunto si se publican cifras oficiales o nuevas aerolíneas confirman afectación.
