Datos de reservas expuestos a través de un proveedor tecnológico de una aerolínea
All Nippon Airways informó el 30 de octubre de 2026 que los datos de reservas de unos 37.800 clientes podrían haber quedado expuestos tras un acceso no autorizado a sistemas operados por su contratista tecnológico español, Amadeus IT Group. En el caso de unos 1.700 clientes, la información que presentó indicios de acceso externo también incluía números de pasaporte y otros datos personales.
Contenido
- Datos de reservas expuestos a través de un proveedor tecnológico de una aerolínea
- ¿Qué información se vio involucrada?
- ¿Qué reservas están comprendidas en el período afectado?
- Cómo se descubrió y comunicó el incidente
- Medidas adoptadas por Amadeus
- Otras aerolíneas afectadas por el incidente del mismo proveedor
- Por qué ANA advierte sobre intentos de suplantación
- Otros comunicados amplían la preocupación por la seguridad de los datos en Japón
- Puntos clave
ANA dijo que Amadeus detectó el acceso no autorizado el 24 de septiembre, pero la aerolínea recibió un informe del contratista el 20 de octubre, 26 días después. ANA había pedido a Amadeus que investigara si sus datos estaban expuestos tras enterarse, el 16 de octubre, de que el incidente había afectado a otras aerolíneas que utilizan al proveedor.
La aerolínea identificó dos grupos de clientes afectados. Los datos básicos de reserva de unos 36.100 clientes quedaron expuestos, incluidos nombres y detalles del viaje. En el caso de unos 1.700 clientes, se vio involucrado un conjunto más amplio de información, que incluía datos de contacto, números de pasaporte y números de viajero frecuente. La información de tarjetas de crédito y las contraseñas no formaban parte de los datos afectados, dijo ANA.
ANA prevé empezar a contactar a los clientes afectados durante la primera semana de noviembre. Su advertencia inmediata a los pasajeros se refiere a correos electrónicos, llamadas, sitios web y anuncios en redes sociales sospechosos que se hagan pasar por ANA Group.
El incidente afecta a más de una aerolínea. Japan Airlines y Japan Transocean Air ya habían anunciado que unos 92.000 clientes podrían haberse visto afectados por un acceso no autorizado relacionado con el mismo proveedor. Otras aerolíneas japonesas seguían comprobando si sus datos estaban expuestos, mientras que también se había informado de que quedaron expuestos números de reserva de clientes de Korean Air y Asiana Airlines.
¿Qué información se vio involucrada?
El grupo más numeroso de clientes afectados por el incidente de ANA, unas 36.100 personas, tenía cinco tipos de información que presentaron indicios de acceso externo: nombres, números de reserva, fechas de viaje, tramos de vuelo y clases de cabina. Un tramo de vuelo es una parte de un viaje, como un vuelo de Tokio a Sapporo. La clase de cabina identifica la categoría del viaje, como económica o ejecutiva.
El grupo más pequeño, de unos 1.700 clientes, tenía esos mismos datos involucrados, además de direcciones de correo electrónico, números de teléfono, números de pasaporte, nacionalidades, números de viajero frecuente, nombres de aerolíneas, números de vuelo, números de billete y números de asiento.
Por tanto, los números de pasaporte figuraban entre los datos afectados de alrededor del 4,5% de los 37.800 clientes identificados por ANA. El otro 95,5%, aproximadamente, pertenecía al grupo cuyos datos expuestos se limitaban a los cinco campos básicos de reserva.
ANA describió indicios de que se había accedido a datos de reservas desde fuera del sistema. En su comunicado no confirmó si la información también se había copiado fuera del sistema ni si se había utilizado posteriormente de forma indebida. Para los pasajeros, la preocupación práctica es que los campos afectados pueden vincular la identidad de una persona con un viaje específico.
¿Qué reservas están comprendidas en el período afectado?
ANA identificó como afectados a algunos clientes que hicieron reservas entre el 10 de agosto de 2023 y el 23 de septiembre de 2026. Su comunicado se refiere a un subconjunto de reservas hechas durante ese período de más de tres años, no a todos los pasajeros que reservaron en esas fechas.
También se describió el período como correspondiente a vuelos operados por ANA entre el 10 de agosto de 2023 y el 23 de septiembre de 2026. La mayoría de las descripciones detalladas del anuncio indican que se trata del período en que se hicieron las reservas. Los clientes deben consultar la notificación individual de ANA para saber si su propia reserva está incluida.
Los registros afectados contienen información que los pasajeros proporcionan o generan al organizar un viaje. El número de reserva identifica una reserva, mientras que el número de billete identifica el documento de viaje emitido. Estos datos pueden permanecer en un sistema de atención al pasajero después de la compra inicial, lo que ayuda a explicar por qué la filtración incluye reservas que se remontan a 2023.
Cómo se descubrió y comunicó el incidente
ANA dio a conocer públicamente el incidente el 29 de octubre, cuando aún investigaba cuántos clientes estaban afectados y qué información estaba involucrada. Al día siguiente, anunció que calculaba que había 37.800 clientes afectados y detalló las dos categorías de datos expuestos.
La secuencia comenzó más de un mes antes de esos anuncios públicos:
- 24 de septiembre de 2026: Amadeus detectó un acceso no autorizado a información de reservas de aerolíneas. ANA dijo que no recibió un informe en ese momento.
- 16 de octubre: ANA se enteró de incidentes que afectaban a otras aerolíneas que utilizan Amadeus y pidió al proveedor que comprobara la información de reservas de vuelos de ANA.
- 20 de octubre: ANA recibió un informe de Amadeus y comunicó el asunto a la Comisión de Protección de la Información Personal de Japón y a otros organismos pertinentes.
- 29 de octubre: ANA informó de indicios de que se había accedido desde el exterior a algunos datos de reservas de clientes.
- 30 de octubre: ANA identificó a unos 37.800 clientes potencialmente afectados y detalló la información involucrada.
- Primera semana de noviembre: ANA prevé empezar a contactar gradualmente a los clientes afectados.
Las fechas muestran que ANA inició su investigación antes de que el contratista informara a la aerolínea. Amadeus detectó el incidente el 24 de septiembre y ANA solicitó una comprobación para determinar si sus datos estaban expuestos 22 días después. El proveedor informó a ANA cuatro días después de esa solicitud.
ANA y Amadeus siguieron comprobando la información de los clientes después del 20 de octubre. La Comisión de Protección de la Información Personal de Japón, que recibió el informe de ANA, es la autoridad responsable de supervisar la protección de la información personal.
Medidas adoptadas por Amadeus
Amadeus proporciona el sistema de atención al pasajero involucrado en el incidente. Las aerolíneas utilizan este tipo de sistemas para gestionar funciones como las reservas y la emisión de billetes, por lo que los datos de los clientes quedan en manos de un proveedor tecnológico especializado como parte de las operaciones habituales de viaje.
ANA dijo que confirmó con Amadeus que se habían deshabilitado las credenciales relacionadas con el acceso no autorizado y que se había reforzado la supervisión. Las credenciales son identificadores digitales o datos de acceso que permiten a una persona o sistema utilizar un servicio. Deshabilitarlas impide seguir utilizando esos datos de acceso específicos.
Amadeus también dijo que no había indicios de daños causados por ransomware, alteración o eliminación de datos, ni interrupciones en los servicios que presta. El ransomware es un software malicioso que se utiliza para bloquear información o sistemas y exigir un pago. En este caso, la respuesta descrita por ANA se centra en el acceso no autorizado a los registros de clientes y la eliminación de las credenciales de acceso asociadas.
Las medidas abordan el acceso y la supervisión en el proveedor. La tarea paralela de ANA consiste en identificar a las personas cuya información estuvo involucrada e informarles qué datos se vieron afectados.
Otras aerolíneas afectadas por el incidente del mismo proveedor
Japan Airlines y Japan Transocean Air anunciaron el 28 de octubre que los datos de reservas de unos 92.000 clientes presentaban indicios de acceso externo a través de Amadeus. En el caso de unos 2.000 de esos clientes, también podrían haber quedado expuestos números de pasaporte y otros datos. Las dos aerolíneas recibieron el informe de Amadeus el 23 de octubre.
Los 92.000 clientes identificados por JAL y JTA equivalen a unas 2,4 veces la cifra de 37.800 de ANA. Los números de pasaporte y otros datos adicionales estaban involucrados en aproximadamente el 2,2% del grupo de JAL y JTA, frente a alrededor del 4,5% del grupo de ANA.
Air Do, Solaseed Air y StarFlyer, que utilizan sistemas de Amadeus a través de ANA, dijeron que ANA les informó el 29 de octubre de que algunos datos personales presentaban indicios de acceso externo. Trabajaban con ANA para determinar el alcance del impacto. También quedaron expuestos números de reserva de clientes de Korean Air y Asiana Airlines, lo que extendió el alcance del incidente más allá de Japón.
JAL y JTA dijeron que habían confirmado que no hubo uso indebido de la información afectada ni repercusiones en las operaciones de vuelo. En el conjunto de las aerolíneas, el proveedor común constituye un punto de exposición compartido, mientras que cada compañía debe identificar a sus propios clientes afectados y gestionar las notificaciones.
Por qué ANA advierte sobre intentos de suplantación
ANA ha instado a sus clientes a estar atentos a mensajes y llamadas que afirmen falsamente representar al grupo de aerolíneas. La información de una reserva puede hacer más convincente un intento de estafa, porque quien llama o envía un correo electrónico podría conocer una fecha de viaje, un destino o un número de vuelo reales.
Por ejemplo, un mensaje fraudulento podría afirmar que una reserva real requiere un pago urgente o que para recibir un reembolso el pasajero debe introducir sus datos financieros. El phishing consiste en hacerse pasar por una organización de confianza para persuadir a alguien de que revele información o visite un sitio web fraudulento.
Los pasajeros que reciban un mensaje inesperado sobre una reserva pueden comprobarlo a través del sitio web o la aplicación de ANA que utilizan habitualmente, en lugar de seguir un enlace o llamar a un número de teléfono incluido en el mensaje. Conviene tener especial cuidado con las solicitudes de contraseñas, códigos de verificación, datos de tarjetas o imágenes de pasaportes que se reciban mediante un contacto no solicitado.
Las notificaciones individuales que ANA prevé enviar permitirán a los clientes afectados tomar medidas mejor informadas que si solo conocieran el amplio período de reservas. Para las personas del grupo de unos 1.700 clientes, la preocupación incluye datos de contacto e identidad, además del itinerario. Para el grupo más numeroso, la información expuesta sigue vinculando un nombre con un viaje.
Otros comunicados amplían la preocupación por la seguridad de los datos en Japón
El Ministerio de Asuntos Exteriores de Japón también dijo el 30 de octubre que un acceso no autorizado podría haber expuesto unos 3.600 registros con información personal, incluidos nombres y direcciones de correo electrónico. Unos 900 registros pertenecían a personas ajenas al ministerio. El entorno afectado era una red conectada a sistemas externos; el ministerio dijo que había confirmado que no se había producido ningún acceso no autorizado a otra red aislada que gestiona información altamente confidencial.
Ryohin Keikaku, empresa operadora de Muji, comunicó que hasta 27,26 millones de registros de clientes podrían haber quedado expuestos debido a un acceso no autorizado a su aplicación oficial. Entre los campos potencialmente afectados figuraban direcciones de correo electrónico, fechas de nacimiento y género, incluida información asociada a personas que habían dejado de utilizar la aplicación. Los nombres y los datos de tarjetas de crédito no formaban parte de la información afectada.
Muji dijo que había confirmado que no hubo uso indebido, que contactaría individualmente a los clientes afectados y que seguiría operando su aplicación y tienda en línea con normalidad. También advirtió a los clientes que no hicieran clic en enlaces de correos electrónicos sospechosos. Los comunicados de la aerolínea, el ministerio y la empresa minorista se refieren a información y servicios distintos, pero en todos los casos las personas afectadas necesitan notificaciones precisas sobre los datos personales que quedaron expuestos.
Puntos clave
- ANA identificó a unos 37.800 clientes cuyos datos de reservas podrían haber quedado expuestos debido a un acceso no autorizado a Amadeus.
- Los datos básicos de reserva de unos 36.100 clientes estuvieron involucrados; en el caso de unos 1.700 también se vieron involucrados números de pasaporte, datos de contacto y otra información.
- ANA dijo que los datos de tarjetas de crédito y las contraseñas no formaban parte de la información afectada.
- Amadeus detectó el incidente el 24 de septiembre de 2026. ANA recibió el informe el 20 de octubre y detalló los datos de los clientes afectados el 30 de octubre.
- Amadeus deshabilitó las credenciales asociadas y reforzó la supervisión. Informó que no hubo interrupciones del servicio.
- ANA prevé empezar a enviar notificaciones individuales durante la primera semana de noviembre y advierte sobre intentos de suplantación.
- JAL y JTA identificaron por separado a unos 92.000 clientes afectados, mientras otras aerolíneas comprobaban si sus datos estaban expuestos.
