Falha na Amadeus expõe dados de 46 mil reservas da Singapore Airlines

A Singapore Airlines informou na terça-feira (3) que cerca de 46 mil registros de reservas podem ter sido afetados por um incidente de segurança na Amadeus, a empresa que fornece a tecnologia de reservas usada pela companhia. A informação foi divulgada pela própria aérea e reportada pela Reuters.

A Amadeus é uma das maiores plataformas de distribuição e reservas (GDS, na sigla em inglês) do mundo, usada por dezenas de companhias aéreas, agências de viagens e sistemas de turismo corporativo em diferentes países — incluindo provedores que atendem o mercado brasileiro. É esse tipo de infraestrutura compartilhada, usada por múltiplos clientes ao mesmo tempo, que torna uma falha única capaz de afetar passageiros de companhias e continentes diferentes de uma só vez.

O que vazou, segundo a Singapore Airlines

A aérea de Singapura disse que os dados expostos na brecha incluem nomes dos clientes, números de referência de reserva, itinerários de viagem e classes de reserva. Para um subconjunto menor, de aproximadamente 620 registros de reserva, a exposição foi mais profunda.

Nesses 620 casos, também podem ter sido acessados endereços de e-mail, números de telefone, detalhes de documentos de viagem e números do programa de fidelidade KrisFlyer. A Amadeus confirmou à Singapore Airlines que dados bancários e de cartão de crédito não foram vazados, e que nenhuma reserva foi modificada durante o incidente.

A Singapore Airlines afirmou que está entrando em contato com os clientes afetados que têm viagens futuras marcadas para trocar os números de referência de reserva como medida de precaução. A companhia também fez questão de destacar que seus próprios sistemas de TI não foram invadidos: o ponto de entrada foi a infraestrutura da Amadeus, não a da aérea.

Não foi só a Singapore Airlines

O caso da companhia de Singapura se soma a uma lista crescente de aéreas que relataram comprometimento de dados de clientes ligado à mesma brecha na Amadeus. Segundo a Reuters, já reportaram incidentes:

• Cathay Pacific Airways (Hong Kong), com cerca de 53 mil reservas afetadas;
• Japan Airlines, com aproximadamente 92 mil clientes atingidos;
• Asiana Airlines (Coreia do Sul);
• Malaysia Airlines, que disse que parte das informações de seus clientes pode ter sido afetada.

Os números variam bastante entre as companhias — de dezenas a mais de 90 mil registros — o que sugere que o impacto real da brecha depende de como cada aérea usa a plataforma da Amadeus e de quais dados ela armazena ali.

O que a Amadeus disse até agora

A Amadeus confirmou publicamente que tomou conhecimento de uma vulnerabilidade que afetava um "ambiente de exibição de reservas de viagem" (travel booking display environment, no original). A empresa, porém, não respondeu à pergunta da Reuters sobre quantos clientes, no total, tiveram dados afetados pelo incidente.

Essa falta de um número consolidado é relevante: cada companhia aérea afetada está divulgando seus próprios totais de forma independente, o que dificulta dimensionar o alcance real da brecha enquanto a Amadeus não publica um balanço unificado do incidente.

O que isso significa para quem constrói sobre plataformas de terceiros

Para quem desenvolve ou mantém sistemas que dependem de provedores externos — seja um GDS de viagens, um gateway de pagamento ou qualquer API de parceiro —, o caso é um lembrete direto de um risco estrutural: a segurança do seu produto é tão forte quanto a do elo mais fraco da sua cadeia de fornecedores.

A Singapore Airlines pôde afirmar com segurança que seus próprios sistemas não foram comprometidos justamente porque a arquitetura separa claramente o que é operado internamente do que é delegado à Amadeus. Essa separação de responsabilidade é o que permite investigar, comunicar e mitigar o incidente sem que a aérea precise assumir uma invasão que não aconteceu em sua própria infraestrutura — mas também não isenta a empresa de lidar com o dano reputacional e o trabalho de notificar clientes.

No Brasil, companhias aéreas e agências de viagens que operam com GDS internacionais como Amadeus, Sabre ou Travelport dependem do mesmo modelo: dados de passageiros circulam por sistemas de terceiros que raramente são auditáveis pelo cliente final da plataforma. Times de segurança e engenharia que integram esse tipo de serviço fazem bem em revisar contratos de nível de serviço (SLA) quanto à divulgação obrigatória de incidentes, e em mapear explicitamente quais dados sensíveis trafegam por cada fornecedor externo — antes que um aviso como o da Singapore Airlings chegue também para os seus usuários.

O que ainda está em aberto

Até a publicação deste texto, a Amadeus não detalhou publicamente a causa raiz da vulnerabilidade no ambiente de exibição de reservas, nem confirmou um número total de clientes afetados em todas as companhias que usam sua plataforma. Também não há, pelas informações disponíveis, indicação de quando a vulnerabilidade foi efetivamente corrigida.

Enquanto isso, mais companhias aéreas que usam os serviços da Amadeus podem vir a público com seus próprios números nos próximos dias, como já aconteceu de forma escalonada com Cathay Pacific, Japan Airlines, Asiana e Malaysia Airlines.

Fonte: ET Tech (Índia)