Falha na Amadeus vaza dados de 40 mil passageiros asiáticos

Segurança Digital

Vulnerabilidade no sistema da Amadeus compromete informações pessoais de passageiros de grandes companhias aéreas asiáticas.

Leia também: Hackers norte-coreanos roubam US$ 6,3 bi da Binance

Uma falha em sistemas da espanhola Amadeus, gigante de tecnologia para o setor aéreo, expôs dados pessoais de dezenas de milhares de passageiros de companhias asiáticas como Japan Airlines, Cathay Pacific, Korean Air, Asiana Airlines, Singapore Airlines e Malaysia Airlines, levando as empresas a acionar planos de contingência e alertar clientes para risco de golpes.

Falha em ambiente de reservas permitiu acesso indevido

A Amadeus informou ter identificado uma vulnerabilidade em um ambiente de exibição de reservas, usado por companhias aéreas para consultar e gerenciar dados de voos. Essa brecha permitiu que invasores acessassem informações ligadas a reservas de passageiros.

“Certain booking-display data was accessible through the vulnerability. Although our investigations continue, we can confirm that there is no evidence that payment or financial data was accessed”, afirmou um porta-voz da Amadeus. A empresa acrescentou ainda que “there are no indications that this vulnerability has been exploited for ransomware purposes”.

Segundo comunicado às aéreas afetadas, “the threat actors used login credentials assigned to its system account” para explorar a falha, ou seja, utilizaram credenciais de uma conta técnica do próprio sistema para acessar os dados. A Amadeus diz ter aplicado correções, além de reforçar monitoramento e mecanismos de detecção, e mantém diálogo com clientes e autoridades enquanto a investigação continua.

Dezenas de milhares de clientes afetados na Ásia

A Japan Airlines reportou que 92.000 clientes tiveram informações roubadas no incidente. A Singapore Airlines confirmou acesso indevido a 46.000 registros de passageiros. Já a Cathay Pacific informou que 53.000 registros foram furtados pelos hackers.

No caso da Cathay Pacific, os dados expostos incluem números de reserva, nomes de passageiros e detalhes de voos. Em parte dos registros, também houve vazamento de números de passaporte e outros documentos de viagem, números de programas de fidelidade e endereços de e‑mail.

As companhias destacam que seus próprios sistemas internos e operações de voo não foram comprometidos, e que o incidente está restrito ao ambiente gerido pela Amadeus. A extensão total do ataque ainda está sendo apurada.

Risco de golpes e orientação a passageiros

Embora não haja indicação de roubo de dados financeiros ou de pagamento, a combinação de nome, rota, número de reserva, documentos de viagem e e‑mail aumenta o potencial para fraudes e golpes direcionados, especialmente por meio de tentativas de phishing – mensagens falsas que imitam comunicações oficiais das companhias.

A Singapore Airlines afirmou que “would contact people with upcoming flights to change their now-exposed booking numbers and urged customers to be wary of malicious emails”, em comunicado aos clientes. Outras companhias adotam medidas semelhantes, com contato direto a passageiros afetados, alteração de números de reserva expostos e reforço de mecanismos de verificação em canais de atendimento.

Especialistas em segurança digital alertam que, com essas informações, criminosos podem tentar se passar pelas empresas em e‑mails ou ligações, solicitando códigos, senhas ou dados de pagamento. Passageiros são orientados a desconfiar de mensagens inesperadas, checar o remetente, evitar clicar em links suspeitos e acessar diretamente os sites e aplicativos oficiais das companhias para qualquer atualização de reserva.

Entenda o contexto

A Amadeus é uma das principais fornecedoras globais de tecnologia para aviação, com receita superior a 6,5 bilhões de dólares no último ano e contratos com centenas de companhias aéreas e aeroportos para sistemas de reservas, emissão de passagens e check-in. Isso faz com que uma falha em seus ambientes tenha impacto em cadeia, atingindo múltiplas empresas ao mesmo tempo.

O incidente se soma a uma sequência de ataques cibernéticos recentes contra o setor aéreo, que já atingiram empresas como Iberia, Air Côte d’Ivoire e Qantas. No caso da Qantas, o roubo de 6 milhões de registros de clientes levou a multas pesadas a executivos, elevando a pressão regulatória sobre a proteção de dados no setor.

Para as companhias afetadas na Ásia, além do desgaste com os clientes e do risco de sanções de órgãos reguladores, o caso tende a acelerar investimentos em segurança digital e na revisão de dependências críticas de fornecedores terceirizados. No curto prazo, passageiros devem conviver com mais verificações de identidade, mudanças de números de reserva e maior vigilância contra tentativas de fraude.