A Japan Airlines (JAL) revelou uma violação de dados que afetou aproximadamente 92.000 passageiros após hackers obterem acesso não autorizado a sistemas operados por seu provedor de tecnologia, Amadeus. O incidente expôs detalhes de reservas e, em alguns casos, informações pessoais sensíveis, incluindo números de passaporte e dados de contato.
A violação envolveu o Sistema de Serviço ao Passageiro (PSS) da Amadeus, que a Japan Airlines e sua subsidiária Japan Transocean Air usam para gerenciar reservas de voos, bilhetagem e check-in de passageiros. A companhia aérea tomou conhecimento do incidente em 23 de outubro de 2026, após a Amadeus descobrir evidências de acesso não autorizado aos registros dos clientes.
De acordo com o anúncio da JAL, a atividade suspeita abrangeu um período de 10 de agosto de 2023 a 23 de setembro de 2026. O prazo estendido indica que as informações dos passageiros podem ter sido acessíveis a partes não autorizadas por mais de três anos.
A maioria dos passageiros afetados, aproximadamente 90.000 pessoas, teve seus códigos de reserva, nomes, datas de voo, rotas e classes de viagem expostos. No entanto, outros 2.000 clientes foram afetados por uma divulgação mais extensa envolvendo endereços de e-mail, números de telefone, passaportes, nacionalidades, números de passageiro frequente, números de voo, números de bilhete e alocações de assentos.
A Japan Airlines confirmou que as informações dos cartões de crédito e senhas não foram comprometidas. A companhia também afirmou que suas operações de voo permanecem inalteradas e que a Amadeus completou as medidas de segurança necessárias para lidar com o incidente.
A divulgação ocorre após um anúncio de segurança anterior da Amadeus em 1º de outubro, quando a empresa relatou ter descoberto uma vulnerabilidade no ambiente de exibição de reservas de viagem que poderia expor informações dos passageiros. Naquele momento, a Amadeus disse que não havia encontrado evidências de exploração por ransomware ou exposição de dados financeiros.
Outras companhias aéreas também relataram incidentes envolvendo a plataforma Amadeus. As companhias sul-coreanas Korean Air e Asiana Airlines confirmaram exposição relacionada à vulnerabilidade, enquanto a All Nippon Airways, do Japão, teria divulgado uma violação semelhante de dados de clientes.
A extensão total do incidente entre os clientes da Amadeus permanece incerta, e a empresa ainda não estabeleceu publicamente quantas companhias aéreas ou passageiros foram afetados no mundo.
A Japan Airlines afirmou não encontrar evidências de que as informações expostas tenham sido usadas de forma inadequada. No entanto, a companhia aérea está entrando em contato individualmente com os passageiros afetados e alertando-os sobre e-mails de phishing, ligações telefônicas fraudulentas e sites que se passam pela JAL.
Um serviço dedicado de consulta ao cliente ficou disponível em 29 de outubro, permitindo que os passageiros solicitassem informações adicionais e assistência sobre a violação.