La brecha de Amadeus expuso datos de pasajeros de siete aerolíneas durante más de tres años y nadie lo notó hasta septiembre. Un intruso entró con las credenciales de una cuenta de sistema de Amadeus, la empresa española que procesa reservas, boletos y registros de vuelo para cientos de aerolíneas, y leyó reservas ajenas entre agosto de 2023 y septiembre de 2026. Malaysia Airlines se sumó este fin de semana a la lista de afectadas y la cifra de avisos sigue creciendo.
Cathay Pacific publicó el aviso más claro. Amadeus la alertó el 28 de octubre y le entregó detalles un día después: unas 53.000 reservas de la aerolínea quedaron dentro del acceso indebido. En la mayoría de los casos el intruso vio el código de reserva, el nombre del pasajero y los datos del vuelo. En un grupo menor aparecieron correos, teléfonos, documentos de viaje y números de viajero frecuente.
Casi ningún pasajero conoce a Amadeus y casi todos lo han usado. La empresa vende el sistema donde viven la reserva, el boleto y el registro de salida de cientos de aerolíneas; cuando un viajero compra en la página de su aerolínea, el dato puede dormir en un servidor de Amadeus. Por eso un solo acceso indebido aparece a la vez en avisos de Hong Kong, de Tokio, de Seúl y de Kuala Lumpur.
Tres años leyendo reservas con credenciales ajenas
Japan Airlines fijó las fechas exactas: del 10 de agosto de 2023 al 23 de septiembre de 2026. Amadeus avisó a Korean Air y a Asiana el 20 de octubre, a Japan Airlines el 23 y a Cathay Pacific el 28. La empresa habló ante la prensa de una posible vulnerabilidad en un entorno de visualización de reservas y contó que supo del fallo el 21 de septiembre, dato publicado por el medio alemán heise online. Las dos explicaciones conviven sin cerrar el círculo: los avisos de las aerolíneas describen credenciales de una cuenta de sistema usadas por un tercero, y ningún aviso dice de quién era la cuenta ni cómo la obtuvo el intruso.
El conteo mayor de datos de pasajeros lo puso Japan Airlines con su filial Japan Transocean Air: unos 92.000 clientes. Para cerca de 90.000, lo expuesto fue el código de reserva, el nombre, la fecha, la ruta y la clase del vuelo. Para unos 2.000 se sumaron el correo, el teléfono, el número de pasaporte, la nacionalidad, el número de viajero frecuente y los datos del boleto y el asiento. La aerolínea abrió una línea de ayuda, el +81-3-4332-7280, que atiende de lunes a viernes en horario de Japón.
ANA contó unos 37.800 clientes que reservaron vuelos suyos en el mismo periodo: nombres e itinerarios para unos 36.100, y número de pasaporte con datos de contacto para unos 1.700. Korean Air y Asiana confirmaron que el intruso alcanzó códigos de reserva de algunos clientes, sin dar una cifra cerrada, y Star Flyer informó el 29 de octubre que revisa su exposición, ligada a servicios de Amadeus que recibe por medio de ANA. Malaysia Airlines no dio cifras ni lista de datos: dijo que trabaja con Amadeus para medir el alcance del incidente.
El riesgo que queda: una estafa con tu vuelo verdadero
El dinero de las tarjetas quedó fuera, y ese detalle cambia el tipo de peligro. Quien tenga tu nombre, tu código de reserva y tu vuelo real puede armar un mensaje de phishing que no parece trampa: parece el correo de siempre de tu aerolínea, con un enlace para confirmar un cambio o pagar una tarifa inventada. Japan Airlines pidió a sus clientes desconfiar de correos, llamadas y páginas que se hagan pasar por la aerolínea. Malaysia Airlines dio el mismo consejo este fin de semana: ojo con mensajes que pidan datos personales o financieros.
La defensa práctica es aburrida y funciona. Nada de abrir enlaces de avisos de vuelo que lleguen por correo o por mensaje: la reserva se revisa entrando directo en la aplicación oficial o escribiendo la dirección de la aerolínea. La cuenta de viajero frecuente merece una mirada extra, porque miles de esos números quedaron dentro del paquete expuesto. Y un dato de pasaporte no se cambia como una contraseña, así que ese grupo de unos 3.700 clientes de Japan Airlines y ANA carga el riesgo más largo.
Lo que Amadeus no ha respondido
Cathay Pacific informó que Amadeus ya restableció la contraseña de la cuenta, reforzó la vigilancia de sus sistemas y no ha encontrado pruebas de uso indebido de los datos. Las aerolíneas repiten la misma línea sobre el pago: no hay señales de acceso a información financiera, y ni tarjetas ni contraseñas de cuentas quedaron expuestas en los avisos de Japan Airlines y ANA. Los vuelos operan con normalidad en todas. El hueco grande sigue del lado de Amadeus: la empresa no ha dicho cuántas de sus aerolíneas clientes entraron en el acceso ni cuántos pasajeros suman en total, y las cifras publicadas no se pueden sumar porque Cathay cuenta reservas y las japonesas cuentan clientes. El folleto corporativo de la empresa registra 205 aerolíneas con sus sistemas de pasajeros contratados al cierre de 2024, cifra que AeroSillage tomó de ese documento: si aparecen avisos nuevos de la brecha de Amadeus en las próximas semanas, saldrán de esa lista.
Fuente: Cathay Pacific
