A companhia aérea finlandesa Finnair confirmou que aproximadamente 116.000 reservas de voo foram afetadas por um incidente de cibersegurança envolvendo a Amadeus, um grande provedor de tecnologia que atende à indústria global de viagens. A violação teve origem fora da própria infraestrutura da Finnair e também afetou várias companhias aéreas internacionais.
Em um documento publicado em 9 de novembro de 2026, a Finnair disse que a Amadeus informou que partes não autorizadas acessaram informações de reservas pertencentes a múltiplos clientes de companhias aéreas. Das aproximadamente 116.000 reservas da Finnair envolvidas, cerca de 750 foram abertas para exame, incluindo 30 relacionadas a pacotes de férias da Aurinkomatkat.
A distinção entre as reservas afetadas e as examinadas é significativa. Embora um grande número de reservas tenha sido incluído no incidente, Finnair não estabeleceu que os atacantes examinaram individualmente cada reserva ou obtiveram todas as informações associadas a elas.
A Amadeus oferece software de suporte a reservas aéreas, bilhetagem e serviços de passageiros. Seus sistemas processam informações de reserva para diversas empresas de viagem, tornando o incidente relevante para passageiros além de uma única companhia aérea.
O Diretor de Segurança da Informação da Finnair, Timo Arndal, disse que a empresa solicitou uma explicação detalhada da Amadeus. A investigação ainda está em andamento, mas o provedor confirmou que números de cartão de pagamento e senhas de conta não foram acessados.
A Finnair também enfatizou que seus próprios sistemas não foram comprometidos. Segundo a Amadeus, a atividade não autorizada foi interrompida e medidas de segurança foram implementadas para enfrentar a vulnerabilidade.
Apenas uma pequena proporção das reservas examinadas pelos atacantes permaneceu ativa. Finnair atribuiu novos números de referência de registro a essas reservas para reduzir o risco de acesso não autorizado.
O incidente faz parte de uma exposição mais ampla de dados que afeta companhias aéreas que utilizam a tecnologia Amadeus. A Japan Airlines já havia relatado que aproximadamente 92.000 clientes foram afetados, enquanto a Singapore Airlines divulgou cerca de 46.000 registros de reservas potencialmente expostos.
A Thai Airways também relatou que aproximadamente 60.529 registros de passageiros podem ter sido acessados. Alguns registros afetados das companhias aéreas continham detalhes pessoais adicionais, incluindo informações de contato e números de passaporte, embora as categorias de informações expostas variem entre as companhias.
A Amadeus reconheceu uma vulnerabilidade envolvendo um ambiente de exibição de reservas de viagem. A empresa afirmou que certas informações sobre reservas se tornaram acessíveis e que sua investigação não encontrou evidências de pagamento ou exposição a dados financeiros.
O provedor também não relatou indicação de que a vulnerabilidade tenha sido explorada para fins de ransomware. Introduziu medidas adicionais de monitoramento e detecção enquanto continua se comunicando com clientes e autoridades.
Finnair disse que a Amadeus notificou uma autoridade de proteção de dados em um estado-membro da União Europeia, conforme o Regulamento Geral de Proteção de Dados. Como responsável pela administração do serviço afetado, a Amadeus é responsável por notificar as pessoas cujas informações estiveram envolvidas.
A Finnair entrará em contato separadamente com os clientes afetados cujos dados de contato recebeu da Amadeus. A companhia aérea também informou o Centro Nacional de Segurança Cibernética da Finlândia.
Passageiros preocupados com suas informações podem contatar a Amadeus em dataprotection@amadeus.com. A Finnair aconselhou os clientes a permanecerem atentos a mensagens suspeitas e ligações telefônicas que possam tentar explorar informações sobre a violação.