Amadeus, la empresa que opera los sistemas de reservación y venta de boletos de cientos de aerolíneas, sufrió un acceso no autorizado a datos de reservaciones de sus clientes. Alguien usó las credenciales de una cuenta de sistema del proveedor y consultó información de vuelos reservados entre agosto de 2023 y septiembre de 2026. Desde el 23 de octubre, Korean Air, Asiana, Japan Airlines, ANA, Cathay Pacific, Malaysia Airlines y Singapore Airlines avisaron a sus pasajeros. En la mayoría de los casos se trata de nombres, códigos de reservación e itinerarios; en una minoría, también pasaportes y datos de contacto. Amadeus asegura que no hay indicios de acceso a datos de pago.
Amadeus, con sede en Madrid, es uno de los grandes intermediarios invisibles de la aviación: cuando compras un boleto en el sitio de una aerolínea, en una agencia o en un buscador, es muy probable que la reservación viva en sus servidores. Cada una se identifica con un código de seis caracteres, el que aparece en tu pase y en los correos de confirmación, y guarda el nombre del pasajero, sus vuelos y, a veces, su pasaporte, su correo o su número de viajero frecuente. Esos datos le pertenecen a cada aerolínea, pero están guardados en la plataforma del proveedor.
En octubre, Amadeus publicó un comunicado breve: detectó «una vulnerabilidad que afectaba a un entorno de visualización de reservaciones» por la que «ciertos datos de reservaciones eran accesibles». Dijo que la corrigió, que reforzó el monitoreo y que no hay indicios de que se haya usado para un ataque de ransomware. No dijo cuántos pasajeros ni cuántas aerolíneas estaban afectados. Ese hueco lo fueron llenando las propias aerolíneas: Korean Air recibió el aviso el 20 de octubre y lo hizo público el 23, igual que Asiana; JAL lo anunció el 28, ANA el 29, Cathay Pacific el 30, Malaysia Airlines el 1 de noviembre y Singapore Airlines el 3.
Lo que se sabe del hackeo a Amadeus
- Cómo entraron. Amadeus habla de una «vulnerabilidad», pero Cathay Pacific y Korean Air dieron un detalle más concreto: el intruso usó las credenciales de una cuenta de sistema de Amadeus, es decir, una cuenta pensada para que un programa, no una persona, consulte reservaciones. Nadie ha explicado cómo las obtuvo ni quién está detrás. Según ANA, Amadeus ya invalidó esas credenciales.
- Cuánto tiempo. JAL y ANA delimitan las reservaciones afectadas: las que estaban en el sistema entre el 10 de agosto de 2023 y el 23 de septiembre de 2026. Según ANA, Amadeus detectó el acceso el 24 de septiembre, pero no le avisó hasta el 20 de octubre; para entonces, ANA ya sabía por otras aerolíneas que algo pasaba.
- Las cifras, cada una en su unidad. JAL y su filial JTA hablan de unos 92,000 clientes; Cathay Pacific, de unas 53,000 reservaciones; Singapore Airlines, de unos 46,000 registros de reservación, y ANA, de unos 37,800 clientes. No se pueden sumar, porque una reservación puede incluir a varios pasajeros. Korean Air, Asiana y Malaysia Airlines no han dado números, y Amadeus no ha querido darlos.
- Qué datos. En la gran mayoría: nombre, código de reservación, fechas, tramos y clase de viaje. En una minoría, además, correo, teléfono, número de pasaporte, nacionalidad, número de viajero frecuente y asiento: unos 2,000 clientes de JAL, unos 1,700 de ANA y unos 620 registros de Singapore Airlines; Cathay no dio la cifra de ese grupo. Korean Air solo ha confirmado el código de reservación y sigue revisando el resto.
- Qué no. Según Amadeus, no hay indicios de acceso a datos de pago ni financieros, y Singapore Airlines dice que el proveedor le confirmó que no se modificó ninguna reservación. JAL y ANA aclaran que no salieron números de tarjeta ni contraseñas. Todas las aerolíneas afirman que sus propios sistemas no fueron vulnerados.
- Qantas, en duda. La aerolínea australiana dijo que investiga con Amadeus si alguna de sus reservaciones se vio afectada y que sus sistemas siguen seguros; por ahora no se ha confirmado. No encontramos avisos de aerolíneas de México ni de Latinoamérica.
Qué hacer si volaste con alguna de estas aerolíneas
- Desconfía de quien sepa tu código de reservación. Es el dato que más se expuso, y con tu nombre, tu vuelo y tu fecha permite escribir un correo, un SMS o un WhatsApp muy creíble: «hay un problema con tu boleto», «paga este cargo para conservar tu asiento», «confirma tu tarjeta para el reembolso». Desconfía de cualquier mensaje que te pida los datos completos de tu tarjeta.
- Revisa tu reservación por tu cuenta. Entra a la app o al sitio de la aerolínea escribiendo la dirección tú mismo, no desde un enlace recibido. En muchas aerolíneas basta el código y el apellido para abrir una reservación; Singapore Airlines, por precaución, está cambiando los códigos de quienes vuelan pronto. Si tu aerolínea te ofrece un código nuevo, acéptalo.
- Cuida tu cuenta de viajero frecuente. Se expusieron algunos números, no las contraseñas, pero conviene cambiar la contraseña si la usas en otros sitios y activar la verificación en dos pasos si el programa la ofrece.
- Si te avisan que se vio tu pasaporte, guarda la notificación y vigila intentos de suplantación. JAL, ANA y Cathay dijeron que contactarán uno por uno a los afectados; JAL y ANA advierten además de llamadas y sitios falsos que se hacen pasar por ellas.
Por qué un solo proveedor pesa tanto
Este incidente no empezó en ninguna aerolínea. Cada una tenía sus propios sistemas en orden y aun así le tocó avisar a sus pasajeros, porque sus reservaciones viven en la misma plataforma compartida. Es el riesgo de concentrar en pocos proveedores un servicio que usa casi toda la industria: basta una cuenta con permisos amplios dentro del proveedor para alcanzar los datos de muchos clientes a la vez. Y las cuentas de sistema a menudo tienen permisos amplios y credenciales que se cambian poco, porque detrás no hay una persona que inicie sesión.
La otra lección está en los tiempos. Los datos comprometidos abarcan tres años, el proveedor tardó casi un mes en avisar a algunas aerolíneas y cada una publicó su parte por separado, con unidades distintas, así que todavía no hay una cifra total. Como pasó con la filtración de datos de clientes de DigiCert, el daño más probable no es el acceso en sí, sino lo que viene después: mensajes de phishing que llegan con datos reales de la víctima y por eso parecen legítimos.
Si no volaste con ninguna de estas aerolíneas en esos tres años, el riesgo directo es bajo, pero la recomendación es la misma para cualquier viajero: un mensaje que menciona tu código de reservación no demuestra que venga de tu aerolínea. Amadeus sigue investigando y no ha dicho cómo obtuvo el intruso las credenciales, así que la lista de aerolíneas afectadas todavía podría crecer.
Fuente: comunicado de Amadeus; aviso de Malaysia Airlines; sobre JAL, Aviation Wire y BleepingComputer; sobre ANA, Travel Voice; sobre Cathay Pacific, Korean Air y Asiana, The Record y MoneyToday; sobre Singapore Airlines, Reuters en New Straits Times; sobre Qantas, IBTimes UK; y Lowyat.NET. Imagen de portada: logotipo de Amadeus, marca registrada.