Japan Airlines, Singapore Airlines e outras empresas confirmam vazamento de dados após ataque

Um ataque cibernético contra a empresa espanhola Amadeus IT Group, fornecedora de tecnologia para o setor aéreo, provocou vazamentos de dados de passageiros de pelo menos seis companhias aéreas da Ásia. O incidente afetou informações armazenadas em sistemas utilizados para reservas, emissão de passagens e processos de check-in.

Entre as empresas que confirmaram exposição de dados estão Japan Airlines, Cathay Pacific, Korean Air, Asiana Airlines, Singapore Airlines e Malaysia Airlines. Todas divulgaram comunicados ao longo da última semana, relacionando os incidentes a uma vulnerabilidade nos sistemas da Amadeus.

Em declaração ao Recorded Future News, a fornecedora informou que identificou recentemente uma falha de segurança em um ambiente utilizado para exibição de informações de reservas. A vulnerabilidade permitiu acesso não autorizado a determinados dados de passageiros.

A empresa afirmou que as investigações continuam, mas não encontrou evidências de acesso a informações financeiras ou de pagamento. Também não foram identificados indícios de exploração da vulnerabilidade para ataques de ransomware.

Segundo a Amadeus, medidas corretivas já foram implementadas, acompanhadas do reforço dos mecanismos de monitoramento e detecção. A companhia também mantém contato direto com clientes e autoridades responsáveis pela investigação.

Apesar disso, a fornecedora não informou quantas pessoas foram afetadas no total nem esclareceu se os responsáveis pelo ataque entraram em contato com a empresa.

Mais de 190 mil registros expostos em três companhias

A Japan Airlines confirmou que informações de aproximadamente 92 mil clientes foram comprometidas. A Singapore Airlines relatou o acesso não autorizado a 46 mil registros, enquanto a Cathay Pacific informou o roubo de dados de 53 mil passageiros.

Somadas, essas três companhias contabilizam aproximadamente 191 mil registros afetados, sem considerar os possíveis impactos nas demais empresas envolvidas.

Entre as informações expostas estão números de reservas, nomes de passageiros e detalhes de voos. Alguns registros também continham números de passaporte, documentos de viagem, identificadores de programas de fidelidade e endereços de e-mail.

A Cathay Pacific informou que recebeu da Amadeus a informação de que os invasores utilizaram credenciais de acesso atribuídas a uma conta de sistema durante o incidente. Entretanto, não foram divulgados detalhes adicionais sobre como essas credenciais foram obtidas ou utilizadas.

A Singapore Airlines confirmou à Reuters e à Bloomberg que nomes, itinerários e códigos de confirmação de reservas estavam entre os dados comprometidos.

Como medida preventiva, a companhia anunciou que entraria em contato com passageiros que possuem viagens programadas para substituir os códigos de reserva expostos. Também orientou os clientes a redobrar a atenção diante de e-mails suspeitos, considerando o risco de tentativas de phishing utilizando informações reais das viagens.

As seis companhias aéreas ressaltaram que o incidente não comprometeu diretamente seus sistemas internos nem provocou interrupções operacionais.

Ataque atinge fornecedor que atende centenas de empresas

A Amadeus IT Group é uma das principais fornecedoras globais de tecnologia para o setor de viagens, desenvolvendo plataformas utilizadas por centenas de companhias aéreas e aeroportos. A empresa registrou receita superior a US$ 6,5 bilhões no último ano.

O comprometimento de um fornecedor compartilhado pode permitir que uma única vulnerabilidade exponha informações de clientes de diversas organizações, mesmo quando seus ambientes internos permanecem protegidos.

O incidente ocorre após uma sequência de ataques cibernéticos contra o setor aéreo. Em 2026, a companhia espanhola Iberia e a Air Côte d'Ivoire também estiveram entre as empresas atingidas por incidentes de segurança.

No ano anterior, hackers roubaram aproximadamente 6 milhões de registros de clientes da companhia australiana Qantas. O caso posteriormente resultou em multas de centenas de milhares de dólares aplicadas a executivos da empresa.

A Amadeus continua investigando a extensão do comprometimento, enquanto as companhias afetadas trabalham para notificar passageiros e reduzir os riscos associados à exposição das informações.