Japan Airlines (JAL) ha informado de que una brecha de seguridad en el Passenger Service System de Amadeus dejó al descubierto datos de alrededor de 92.000 clientes. JAL Group, matriz de las aerolíneas JAL y Japan Transocean Air, emplea ese sistema para gestionar reservas, emisión de billetes y facturación de pasajeros.
Según el comunicado de la compañía, Amadeus notificó a la aerolínea el 23 de octubre de 2026 que se había producido un acceso no autorizado a sus sistemas entre el 10 de agosto de 2023 y el 23 de septiembre de 2026. A causa de esta prolongada intrusión, el actor malicioso obtuvo códigos de reserva (PNR), nombres, fechas de vuelo, rutas y clases de viaje de aproximadamente 90.000 clientes.
Otros 2.000 clientes vieron expuestos esos mismos tipos de datos, además de sus direcciones de correo electrónico, números de teléfono, números de pasaporte, nacionalidades, números de programas de fidelización y números de vuelo, billete y asiento. JAL ha asegurado que los números de tarjeta de crédito y las contraseñas no se vieron comprometidos y que, por ahora, no tiene indicios de que la información de los clientes haya sido utilizada de forma indebida. La aerolínea también indicó que Amadeus ya implementó las medidas de seguridad pertinentes y que las operaciones de vuelo no se han visto afectadas.
Impacto más amplio
Amadeus es una empresa de tecnología que ofrece soluciones a agencias de viajes, aerolíneas, aeropuertos y hoteles, y se ha consolidado como un proveedor clave para la aviación mundial: más de cuatrocientas aerolíneas, 210 operadores aeroportuarios, 34 navieras de cruceros y ferris y 2 millones de hoteles utilizan sus servicios.
El 1 de octubre de 2026, Amadeus publicó un comunicado en su sitio web en el que anunciaba haber detectado una vulnerabilidad en su entorno de visualización de reservas de viajes que podría exponer datos de los viajeros. En aquel momento, la compañía afirmó que los actores de ransomware no habían explotado la falla y garantizó que no se habían visto comprometidos datos de pago ni financieros. Como ahora ha confirmado JAL, la vulnerabilidad parece haber sido explotada de forma maliciosa.
Al parecer, la aerolínea japonesa no fue la única víctima de esta campaña. Según medios locales, All Nippon Airways (ANA) también ha anunciado hoy mismo una brecha de datos de clientes vinculada a Amadeus. La aerolínea ha suspendido además ciertos servicios relacionados en su web y su aplicación móvil desde el 21 de octubre, aunque esa medida parece estar ligada a la amenaza PHP2Shell y no al incidente de Amadeus. Otras aerolíneas que han confirmado verse afectadas por la falla de Amadeus son Asiana Airlines y Korean Air, ambas importantes compañías surcoreanas.
BleepingComputer ha solicitado a Amadeus más información sobre el alcance del impacto, en particular si se han visto afectadas más aerolíneas y otros países o mercados, pero la empresa no había proporcionado datos adicionales en el momento de la publicación.
Deja una respuesta