A Japan Airlines (JAL) anunciou que sofreu uma violação de segurança que resultou na exposição de dados sensíveis de cerca de 92 mil de seus clientes, devido a uma vulnerabilidade no sistema de serviços de passageiros (Passenger Service System) gerenciado pela empresa de tecnologia global Amadeus. Este incidente é um indicador dos riscos de segurança associados à dependência de provedores de serviços tecnológicos terceirizados no setor aéreo.
Detalhes da violação
De acordo com o anúncio oficial, a Amadeus informou a Japan Airlines em 23 de outubro de 2026 sobre a existência de um acesso não autorizado aos seus sistemas que durou um longo período, estendendo-se de 10 de agosto de 2023 até 23 de setembro de 2026. Os dados vazados variaram entre os clientes, incluindo:
- Cerca de 90 mil clientes: houve acesso aos códigos de reserva (PNRs), nomes, datas de voo, itinerários e classes de viagem.
- Cerca de 2.000 clientes: tiveram dados adicionais comprometidos, incluindo endereços de e-mail, números de telefone, números de passaporte, nacionalidades, números de passageiro frequente, além de detalhes de voos e assentos.
A Japan Airlines confirmou que os números de cartões de crédito e senhas não estavam entre os dados comprometidos, observando que não há evidências, até o momento, de uso indevido das informações vazadas.
Escopo do impacto técnico
Este incidente não se limita apenas à Japan Airlines; a Amadeus é um fornecedor tecnológico fundamental para o setor aéreo global, atendendo a mais de 400 companhias aéreas e milhões de hotéis. Outras companhias aéreas, incluindo a All Nippon Airways (ANA), a Asiana Airlines e a Korean Air, confirmaram ter sido afetadas por esta vulnerabilidade de segurança no ambiente de exibição de reservas de viagens.
Por que esta notícia é importante?
Esta violação destaca os desafios fundamentais na segurança da cadeia de suprimentos de software (Software Supply Chain Security). Quando um setor vital como o aéreo depende de uma plataforma tecnológica centralizada, qualquer vulnerabilidade nessa plataforma se transforma imediatamente em uma ameaça transfronteiriça e interempresarial. Embora a Amadeus tenha anunciado a correção da vulnerabilidade, a longa duração da violação (mais de três anos) levanta questões sobre a eficácia dos sistemas de monitoramento e detecção de intrusões em ambientes de reserva digital, e reforça a necessidade de revisar os protocolos de segurança cibernética dos provedores de serviços tecnológicos que possuem acesso aos dados de milhões de passageiros.