Il data breach Amadeus si allarga: dopo Cathay Pacific, Japan Airlines e ANA, anche Malaysia Airlines ha comunicato che alcuni dati dei propri clienti potrebbero essere stati esposti in seguito a un incidente di sicurezza presso Amadeus, il fornitore spagnolo di tecnologia che gestisce sistemi di prenotazione e distribuzione per centinaia di compagnie aeree. Secondo le comunicazioni ufficiali dei vettori, l’accesso non autorizzato riguarda dati di prenotazione elaborati tra agosto 2023 e settembre 2026.
Cosa è successo nel data breach Amadeus
Secondo quanto comunicato da Cathay Pacific, la compagnia è stata avvisata da Amadeus il 28 ottobre e ha ricevuto ulteriori dettagli il giorno successivo: un soggetto non autorizzato ha avuto accesso a dati di prenotazione utilizzando le credenziali di accesso assegnate all’account di sistema della compagnia. Amadeus, secondo quanto riferito dal vettore, ha reimpostato la password interessata e rafforzato il monitoraggio, e finora non sono emerse prove di un uso illecito dei dati.
Interpellata da Reuters, Amadeus ha dichiarato di essere a conoscenza di una vulnerabilità che interessava un ambiente di visualizzazione delle prenotazioni di viaggio, senza però indicare quante compagnie e quanti passeggeri siano coinvolti. L’azienda ha aggiunto di non avere indicazioni di un utilizzo a scopo ransomware. Al momento le cause tecniche precise non sono state rese pubbliche.
Le compagnie aeree coinvolte e i dati esposti
Le notifiche pubblicate finora riguardano soprattutto vettori asiatici:
- Cathay Pacific: circa 53.000 prenotazioni. Per la maggior parte si tratta di codice di prenotazione, nome e dettagli del volo; per una parte dei clienti anche email, numero di telefono, informazioni sul documento di viaggio e numero frequent flyer.
- Japan Airlines (insieme a Japan Transocean Air): circa 92.000 clienti con prenotazioni tra il 10 agosto 2023 e il 23 settembre 2026. Per circa 2.000 di loro sono coinvolti anche email, telefono, numero di passaporto e nazionalità. La compagnia esclude numeri di carta di credito e password.
- ANA: circa 37.800 clienti, di cui circa 1.700 con dati più estesi. Anche in questo caso non risultano coinvolti numeri di carta né password e le credenziali compromesse sono state revocate.
- Malaysia Airlines: non ha diffuso numeri, ma precisa che i propri sistemi informatici non sono stati compromessi e che non ci sono prove di accesso a dati finanziari.
Secondo la stampa asiatica, anche Korean Air e Asiana Airlines hanno segnalato di essere state coinvolte, senza indicare il numero di clienti interessati. Non è escluso che l’elenco possa crescere nei prossimi giorni, visto che Amadeus serve un gran numero di compagnie in tutto il mondo.
Il rischio principale: phishing mirato ai viaggiatori
Anche senza dati di pagamento, informazioni come nome, codice di prenotazione, tratte e recapiti sono molto utili per costruire truffe credibili. Un messaggio che cita il volo reale o il numero frequent flyer può convincere la vittima a cliccare su un link o a fornire dati della carta per un presunto rimborso. Non a caso il settore dei viaggi è tra i più bersagliati, come avevamo raccontato analizzando la crescita degli attacchi contro il turismo e il caso Qantas. È anche un nuovo esempio di come un incidente presso un fornitore possa ricadere su molte aziende clienti, come accaduto nel caso Coinbase e Amplitude.
Cosa fare se hai volato con queste compagnie
- Diffida di email, SMS o telefonate che citano la tua prenotazione e chiedono pagamenti, dati della carta o credenziali: verifica sempre accedendo direttamente al sito o all’app ufficiale della compagnia.
- Non aprire allegati o link relativi a rimborsi, cambi volo o “verifiche del passaporto” non richiesti.
- Cambia la password dell’account frequent flyer, soprattutto se la riutilizzi altrove, e attiva l’autenticazione a due fattori dove disponibile.
- Controlla il saldo punti e lo storico del programma fedeltà per individuare movimenti anomali.
- Se la compagnia ti ha contattato, segui solo le indicazioni ricevute attraverso i canali ufficiali.
Fonti: Malaysia Airlines, Cathay Pacific, Japan Airlines, ANA, CNA, CNA (Cathay Pacific), New Straits Times.
