Japan Airlines suffers third-party data breach exposing passenger info

Japan Air­li­nes (JAL) in­for­mó sobre un in­ci­den­te de se­gu­ri­dad que afec­tó al sis­te­ma de ser­vi­cio de pa­sa­je­ros de Ama­deus, ex­po­nien­do in­for­ma­ción de al­re­de­dor de 92,000 usua­rios. Dicho sis­te­ma es uti­li­za­do por el grupo para la ges­tión de re­ser­vas, la emi­sión de bo­le­tos y el pro­ce­so de re­gis­tros. La com­pa­ñía aérea re­ci­bió una no­ti­fi­ca­ción en la fecha se­ña­la­da in­di­can­do que se había re­gis­tra­do un ac­ce­so no au­to­ri­za­do a los sis­te­mas du­ran­te un pe­rio­do pro­lon­ga­do, abar­can­do desde me­dia­dos de agos­to de 2023 hasta fi­na­les de sep­tiem­bre de 2026.

De­bi­do a este su­ce­so, un actor ma­li­cio­so logró ac­ce­der a datos de unos 90,000 clien­tes, in­clu­yen­do nom­bres, có­di­gos de re­ser­va, rutas, fe­chas de vuelo y cla­ses de viaje. Para otros 2,000 pa­sa­je­ros, ade­más de los datos an­te­rio­res, que­da­ron ex­pues­tos nú­me­ros de pa­sa­por­te, di­rec­cio­nes de co­rreo elec­tró­ni­co, nú­me­ros te­le­fó­ni­cos, na­cio­na­li­da­des, nú­me­ros de via­je­ro fre­cuen­te y datos de asien­tos, bo­le­tos y vue­los. No obs­tan­te, la ae­ro­lí­nea in­di­có que las con­tra­se­ñas y los nú­me­ros de tar­je­tas de cré­di­to no se vie­ron afec­ta­dos, y ase­gu­ró que hasta el mo­men­to no exis­ten in­di­cios de un uso in­de­bi­do de la in­for­ma­ción de los usua­rios.

La em­pre­sa tec­no­ló­gi­ca Ama­deus, pro­vee­do­ra de so­lu­cio­nes para el sec­tor de via­jes y avia­ción a nivel glo­bal, había de­tec­ta­do pre­via­men­te una vul­ne­ra­bi­li­dad en su en­torno de vi­sua­li­za­ción de re­ser­vas. Aun­que en un ini­cio se se­ña­ló que no había ex­plo­ta­ción por parte de ac­to­res de ran­som­wa­re ni ex­po­si­ción de datos fi­nan­cie­ros, pos­te­rior­men­te se con­fir­mó el uso ma­li­cio­so de dicha falla. Este in­ci­den­te no solo afec­tó a JAL, sino tam­bién a otras ae­ro­lí­neas como All Nip­pon Air­ways, Asia­na Air­li­nes y Ko­rean Air.