Vazamento na Amadeus expõe reservas de passageiros

A Amadeus, empresa espanhola que opera um dos maiores sistemas de processamento de passageiros do mundo, confirmou que uma parte não autorizada acessou dados de reservas usando credenciais atribuídas a uma conta de sistema da própria provedora. Cathay Pacific, Japan Airlines, ANA e StarFlyer já publicaram comunicados com o escopo do dano, que soma mais de 180 mil clientes e reservas afetados (conta própria, calculada a partir dos avisos oficiais). Quem voou por essas companhias entre 2023 e 2026 deve aguardar contato oficial e desconfiar de mensagens que citem reservas antigas; equipes de segurança que dependem de plataformas terceirizadas têm, no caso, um alerta direto sobre contas de serviço sem monitoramento de comportamento.

O que a Amadeus confirmou

Segundo o comunicado da Cathay Pacific, publicado em 30 de outubro de 2026, a companhia foi notificada pela Amadeus em 28 de outubro e recebeu detalhes adicionais em 29 de outubro. O acesso não autorizado partiu de uma parte externa que usou credenciais de login atribuídas a uma conta de sistema da Amadeus, e não de senhas de passageiros ou de funcionários de companhias. Na avaliação da própria Cathay, cerca de 53 mil reservas da Cathay Pacific foram afetadas pelo acesso não autorizado, que ocorreu entre agosto de 2023 e setembro de 2026.

A Cathay relata que a maioria dos registros expostos continha referência da reserva, nome do passageiro e dados do voo. Em um subconjunto menor, há indícios de acesso a e-mail, telefone, documento de viagem e número de programa de fidelidade. A companhia afirma não ter evidência de acesso a informações financeiras ou de pagamento, e a Amadeus diz ter contido o caso com redefinição de senha, monitoramento reforçado e capacidade de detecção ampliada nos sistemas. Não há registro de uso indevido dos dados até a data do aviso, a operação de voos não foi impactada e as autoridades competentes foram informadas.

Escopo por companhia aérea

Três companhias japonesas divulgaram avisos próprios sobre o mesmo sistema. O comunicado da Japan Airlines, de 30 de outubro, cobre também a Japan Transocean Air e contabiliza aproximadamente 92 mil clientes com vestígios de acesso, dos quais cerca de 2 mil tiveram dados adicionais consultados, incluindo número de passaporte e nacionalidade. A ANA reporta cerca de 37,8 mil clientes afetados, sendo 1,7 mil com o mesmo pacote ampliado de dados. A StarFlyer, que usa o sistema por intermédio da ANA, ainda apura o total de pessoas atingidas.

As quatro companhias afirmam que o incidente não envolveu números de cartão de crédito nem senhas de contas, e que as credenciais de autenticação comprometidas já foram revogadas pela Amadeus, com protocolos de monitoramento substancialmente reforçados. A tabela resume o que cada aviso confirma até o fechamento desta análise.

Por que a detecção demorou

Os comunicados da JAL e da ANA situam os vestígios de acesso externo entre 10 de agosto de 2023 e 23 de setembro de 2026: mais de três anos entre o primeiro acesso e a contenção. O detalhe central para a defesa está no vetor. Como o intruso operou com credenciais válidas de uma conta de sistema, cada leitura parecia legítima para os controles tradicionais de autenticação. Não houve senha quebrada, malware conhecido nem exploração pública de falha — houve uso indevido de uma identidade tecnicamente autorizada, em ritmo baixo, por muito tempo.

Esse padrão derruba a suposição de que autenticação forte resolve o problema de contas de serviço. Contas de máquina raramente passam por rotação, quase nunca têm segundo fator e costumam receber escopo amplo por conveniência de integração. O roubo de credenciais legítimas em nuvem segue a mesma lógica: o atacante não ataca a criptografia, ataca o ponto onde a credencial circula. E quando o alvo é um fornecedor central, o impacto salta de um cliente para centenas de empresas ao mesmo tempo — o mesmo efeito concentrador observado no ataque que atravessou a ConnectWise e atingiu clientes por aplicativos OAuth de terceiros.

Riscos práticos do PNR

O registro de reserva (PNR) é um agregador eficiente de contexto: nome completo, itinerário, datas, contatos e, em parte dos casos, documento de viagem. Sem nenhum dado de cartão, esse conjunto já sustenta phishing de alta conversão, porque a mensagem chega citando um voo real, com data e rota corretas, o que derruba a desconfiança natural do destinatário. JAL, ANA e StarFlyer pedem explicitamente cautela com e-mails, ligações, sites e anúncios em redes sociais que se apresentem como sendo da companhia. O subconjunto com número de passaporte e nacionalidade eleva o risco de fraude de identidade e deve ser tratado como dado sensível, não como metadado de viagem.

Ações defensivas prioritárias

• P1 — Inventariar contas de serviço: enumerar todas as contas de integração e de sistema com acesso a dados de clientes, atribuir um dono responsável por conta, reduzir escopo ao mínimo necessário e revisar a política de rotação. Conta sem dono é a que fica três anos lendo dados sem alerta.
• P1 — Monitorar comportamento de leitura: a maioria dos ambientes alerta sobre falhas de login e desconexões, mas o vazamento lento mora nas consultas bem-sucedidas. Crie alertas para leitura em lote, exportações, consultas fora de horário esperado e volumes anômalos por conta de sistema.
• P2 — Exigir telemetria do fornecedor: contratos com provedores centrais devem garantir notificação com prazo definido, acesso a logs de leitura dos seus dados e direito de auditoria sobre contas de sistema que tocam sua base de clientes.
• P2 — Mapear dados em poder de terceiros: antes da crise, documente quais dados pessoais de clientes estão em cada plataforma externa. Sem esse mapa, a comunicação de incidente vira reconstrução às cegas semanas depois da descoberta.
• P2 — Orientar passageiros por canal oficial: avise clientes afetados por um canal único e verificável e antecipe o alerta sobre golpes que usam os dados vazados. A companhia que explica o ataque antes do golpista reduz o dano reputacional e o risco de fraude.

Fontes

• Cathay Pacific — Personal data security incident involving a third-party service provider
• Japan Airlines — Regarding Unauthorized Access to Amadeus Passenger Service System
• ANA — Regarding Unauthorized Access to Passenger Service System Provided by Amadeus
• StarFlyer — Notice Regarding Unauthorized Access to the Passenger Service System Provided by Amadeus