Un incidente de seguridad en Amadeus, la multinacional española que proporciona tecnología de reservas a cientos de aerolíneas, dejó expuesta información personal de viajeros de diferentes países. Japan Airlines confirmó aproximadamente 92.000 clientes afectados y Cathay Pacific identificó unas 53.000 reservas comprometidas. A la lista se sumaron Asiana Airlines y, este 1 de noviembre, Malaysia Airlines. El problema no se originó necesariamente en las páginas web de las aerolíneas, sino en sistemas tecnológicos compartidos que procesan información de sus pasajeros. El caso revela cómo una intrusión en un proveedor puede tener consecuencias internacionales.
Un mismo proveedor conecta a numerosas aerolíneas
Cuando una persona compra un boleto de avión, la información de su viaje puede pasar por varios sistemas tecnológicos antes de que llegue el día del vuelo. Las aerolíneas utilizan plataformas para administrar reservas, emitir boletos, asignar asientos y coordinar procedimientos de facturación.
Amadeus es uno de los principales proveedores mundiales de estas soluciones. Su tecnología forma parte de la infraestructura informática utilizada por numerosas compañías aéreas, agencias de viajes y otros participantes del sector turístico.
Precisamente esa posición convierte a sus sistemas en un punto de especial interés para los delincuentes informáticos. Acceder a información almacenada por un proveedor puede permitir obtener datos relacionados con diferentes empresas sin necesidad de atacar individualmente cada una de ellas.
El incidente fue comunicado a las aerolíneas afectadas durante los últimos días de octubre, aunque los registros examinados abarcan un período mucho más amplio.
Según la información publicada por las compañías, se identificaron accesos no autorizados a determinados datos de reservas entre agosto de 2023 y septiembre de 2026.
Japan Airlines confirma 92.000 clientes afectados
Japan Airlines informó que Amadeus le notificó el 23 de octubre la existencia de indicios de acceso externo no autorizado a parte de la información almacenada en su sistema de servicios a pasajeros.
La aerolínea japonesa identificó aproximadamente 92.000 clientes afectados, incluidos registros relacionados con Japan Transocean Air.
En alrededor de 90.000 casos, la información comprendía datos como el código de reserva, nombre del pasajero, fecha del vuelo, trayecto y clase de servicio.
Otros 2.000 clientes podrían haber tenido expuesta información adicional, incluidos correos electrónicos, números telefónicos, números de pasaporte, nacionalidad, datos de programas de viajero frecuente y detalles de los boletos.
La compañía aclaró que no encontró indicios de compromiso de números de tarjetas de crédito ni contraseñas.
También aseguró que el incidente no afectó sus operaciones aéreas y que los pasajeros podían continuar utilizando los servicios de la empresa.
Japan Airlines comenzó a contactar a las personas afectadas y recomendó prestar atención a posibles mensajes fraudulentos que utilizaran su identidad.
Cathay Pacific identifica otras 53.000 reservas
Cathay Pacific comunicó el 30 de octubre que aproximadamente 53.000 reservas relacionadas con su compañía habían resultado afectadas por el acceso no autorizado a sistemas de Amadeus.
La empresa explicó que, en la mayoría de los casos, los registros incluían el localizador de reserva, el nombre del pasajero y detalles del vuelo.
En un grupo más reducido, también podían aparecer direcciones de correo electrónico, números de teléfono, documentos de viaje e identificadores de programas de fidelización.
La aerolínea indicó que no encontró pruebas de acceso a información financiera o de pagos.
Un detalle técnico resulta especialmente relevante: según Cathay Pacific, el acceso no autorizado se realizó utilizando credenciales de inicio de sesión asignadas a una cuenta del sistema.
La compañía no afirmó que sus propias plataformas hubieran sido vulneradas. De hecho, aseguró que el incidente no afectó sus sistemas ni la operación de sus vuelos.
Amadeus informó que tomó medidas de contención, incluido el restablecimiento de contraseñas y el fortalecimiento de sus mecanismos de supervisión.
Malaysia Airlines también confirma posibles afectados
La investigación adquirió una nueva dimensión este domingo 1 de noviembre, cuando Malaysia Airlines informó que parte de la información de sus clientes también podría estar relacionada con el incidente.
La aerolínea explicó que los registros potencialmente afectados corresponden al período comprendido entre agosto de 2023 y septiembre de 2026.
La compañía se suma a Japan Airlines, Cathay Pacific y Asiana Airlines, que ya habían comunicado problemas relacionados con el acceso no autorizado a datos gestionados por Amadeus.
Sin embargo, todavía no existe una cifra consolidada y públicamente verificada de personas afectadas en todas las aerolíneas.
Tampoco sería correcto sumar directamente los 92.000 clientes comunicados por Japan Airlines con las 53.000 reservas de Cathay Pacific para calcular el número total de víctimas.
Una reserva puede incluir a varias personas y un mismo viajero puede aparecer en diferentes registros. Las unidades de medida utilizadas por cada compañía no son necesariamente equivalentes.
Por qué los datos de una reserva pueden ser valiosos
Aunque las aerolíneas afectadas no hayan encontrado evidencias de robo de tarjetas bancarias, la información de los viajes puede resultar útil para cometer otros fraudes.
Un delincuente que conoce el nombre de un pasajero, la aerolínea utilizada y los detalles de su itinerario dispone de información suficiente para elaborar mensajes mucho más convincentes que una estafa genérica.
Por ejemplo, podría enviar un correo electrónico que simule proceder de la compañía aérea y haga referencia a un vuelo real para solicitar información adicional o dirigir a la víctima hacia una página falsa.
La exposición de números de pasaporte, teléfonos y direcciones de correo electrónico incrementa el riesgo porque permite combinar diferentes datos personales.
Sin embargo, estos son riesgos potenciales. Amadeus indicó que no había identificado pruebas de utilización fraudulenta de la información comprometida.
No existe, por tanto, fundamento para afirmar que todos los registros expuestos ya fueron empleados en campañas de estafa.
Qué deben hacer los pasajeros afectados
Las personas que hayan viajado con alguna de las aerolíneas mencionadas deben prestar especial atención a las comunicaciones relacionadas con sus reservas.
La recomendación más importante es desconfiar de mensajes inesperados que soliciten contraseñas, información bancaria o pagos urgentes, incluso cuando incluyan detalles correctos de un viaje.
Si llega una notificación sospechosa, conviene entrar directamente en la aplicación o página oficial de la aerolínea en lugar de utilizar enlaces incluidos en el mensaje.
También resulta recomendable revisar las comunicaciones oficiales de cada compañía para conocer si ha identificado clientes afectados y cuáles son sus procedimientos de asistencia.
El incidente no implica que los viajeros deban cancelar sus vuelos o cambiar automáticamente sus documentos de identidad. Las medidas necesarias dependen de la información concreta que haya quedado expuesta.
El riesgo de concentrar información en pocos sistemas
El caso de Amadeus pone de relieve un problema que va mucho más allá de la industria aérea: la dependencia de proveedores tecnológicos compartidos.
Las compañías pueden mantener protegidas sus propias aplicaciones y, aun así, quedar expuestas cuando un socio que procesa información en su nombre sufre una intrusión.
La investigación continúa y todavía deben aclararse aspectos fundamentales, como el alcance completo del acceso y las medidas que impedirán que se repita.
Mientras tanto, las notificaciones de distintas aerolíneas muestran que la seguridad de los datos de un pasajero no depende exclusivamente de la empresa con la que compró su boleto.
También depende de una infraestructura tecnológica que casi nunca aparece ante sus ojos, pero que administra buena parte de la información necesaria para viajar.
