Japan Airlines (JAL) ha revelado una brecha de datos que afecta a aproximadamente 92.000 pasajeros después de que hackers obtuvieran acceso no autorizado a sistemas operados por su proveedor tecnológico, Amadeus. El incidente expuso detalles de reservas y, en algunos casos, información personal sensible, incluidos números de pasaporte y datos de contacto.
La brecha involucró el Sistema de Servicio al Pasajero (PSS) de Amadeus, que Japan Airlines y su filial Japan Transocean Air utilizan para gestionar las reservas de vuelos, la venta de billetes y el registro de pasajeros. La aerolínea se enteró del incidente el 23 de octubre de 2026, después de que Amadeus descubriera pruebas de acceso no autorizado a los registros de clientes.
Según el anuncio de JAL, la actividad sospechosa cubrió un periodo desde el 10 de agosto de 2023 hasta el 23 de septiembre de 2026. El plazo ampliado indica que la información de pasajeros pudo haber estado accesible a partes no autorizadas durante más de tres años.
La mayoría de los pasajeros afectados, aproximadamente 90.000 personas, vieron expuestos sus códigos de reserva, nombres, fechas de vuelo, rutas y clases de viaje. Sin embargo, otros 2.000 clientes se vieron afectados por una divulgación más extensa que involucraba direcciones de correo electrónico, números de teléfono, pasaporte, nacionalidades, números de viajero frecuente, números de vuelo, números de billetes y asignaciones de asientos.
Japan Airlines confirmó que la información de las tarjetas de crédito y las contraseñas no fueron comprometidas. La aerolínea también declaró que sus operaciones de vuelo siguen intactas y que Amadeus ha completado las medidas de seguridad necesarias para abordar el incidente.
La divulgación sigue a un anuncio de seguridad previo de Amadeus el 1 de octubre, cuando la compañía informó de haber descubierto una vulnerabilidad en su entorno de visualización de reservas de viajes que podría exponer información de pasajeros. En ese momento, Amadeus afirmó que no había encontrado pruebas de explotación por ransomware ni de exposición de datos financieros.
Otras aerolíneas también han informado de incidentes relacionados con la plataforma Amadeus. Las aerolíneas surcoreanas Korean Air y Asiana Airlines han confirmado la exposición relacionada con esta vulnerabilidad, mientras que All Nippon Airways de Japón ha informado una filtración similar de datos de clientes.
El alcance completo del incidente entre los clientes de Amadeus sigue sin estar claro, y la compañía no ha establecido públicamente cuántas aerolíneas o pasajeros se vieron afectados en todo el mundo.
Japan Airlines afirmó que no ha encontrado pruebas de que la información expuesta haya sido mal utilizada. No obstante, la aerolínea está contactando individualmente a los pasajeros afectados y advirtiéndoles sobre correos electrónicos de phishing, llamadas telefónicas fraudulentas y sitios web que se hacen pasar por JAL.
El 29 de octubre se puso a disposición un servicio dedicado de consulta al cliente, que permitió a los pasajeros solicitar información y asistencia adicional sobre la brecha.