Amadeus: reservas de companhias aéreas expostas por três anos

O registro interno trata o caso como 'claimed' e 'unverified', com título de manchete. Isso está errado em dois pontos. Primeiro, não há alegação de ator: o que existe são comunicados de vítimas, e a Amadeus reconheceu o problema. Segundo, a vítima primária é a Amadeus, e as companhias são afetadas em segundo grau, porque os dados vazaram da plataforma do fornecedor e não dos sistemas delas. Corrigimos para 'confirmed' e 'real'. Também corrigimos o enquadramento 'asiáticas': Qantas (Austrália) e Condor (Alemanha) aparecem entre as afetadas, em reportagens de apuração mais fraca no caso da Condor.

O que as partes afirmam. A Amadeus diz, em nota curta, que soube de uma 'vulnerabilidade' em um ambiente de exibição de reservas, pela qual certos dados de exibição ficaram acessíveis. Diz que não há indício de acesso a dados de pagamento nem de uso para ransomware, e que aplicou correções e reforçou o monitoramento. Não li a nota original da Amadeus, apenas trechos citados por The Record, TechRadar, Rappler e Malay Mail. A Cathay Pacific afirma que um terceiro acessou o sistema 'usando credenciais atribuídas a uma conta de sistema' da Amadeus. O texto da Cathay indica também reset de senhas, segundo a reprodução do comunicado em blog especializado. Segundo a imprensa, JAL, Korean Air e Asiana citam o mesmo mecanismo.

Contradição que importa. 'Vulnerabilidade' e 'credencial de conta de sistema' descrevem coisas diferentes. A primeira sugere falha de software. A segunda sugere credencial comprometida e controle de acesso insuficiente: conta de serviço com acesso amplo, sem segundo fator ou restrição de origem, e usada por um período longo sem ser detectada. A Amadeus não explicou como a credencial foi obtida nem como o acesso passou despercebido. Qualquer leitura mais precisa do vetor, incluindo a que a análise de terceiros vem fazendo, é inferência. A leitura 'credencial, sem CVE' é consistente com todas as comunicações das companhias, mas depende do que a Amadeus relatou a elas.

Os números. Cada companhia divulgou uma unidade diferente: JAL ~92 mil 'clientes' (~90 mil com nome, PNR, data, rota e classe, e ~2 mil com e-mail, telefone, passaporte, nacionalidade e número de passageiro frequente); Cathay ~53 mil 'reservas'; SIA ~46 mil 'registros de reserva' (~620 com dados adicionais); ANA ~37,8 mil 'clientes' (~1.700 com passaporte ou contato). Somar dá cerca de 229 mil, mas a soma mistura unidades e deixa de fora as companhias sem número. A Amadeus se recusou a informar o total de vítimas e de companhias. Aqui a distância entre o declarado e o real é informação: o total real é desconhecido e provavelmente maior. Não há número alegado por ator para comparar, e por isso 'claimed_records' fica nulo.

O que ninguém demonstrou. Não há prova pública de exfiltração em massa, de cópia da base, de venda ou de publicação. The Record fala em informação 'roubada', mas os comunicados falam em dados 'acessíveis' ou 'acessados', e a imprensa usa os dois verbos sem distinção. A janela de 37 meses é citada como fato nos relatos, mas ninguém explicou como foi estimada. Pode ser o tempo de vida da credencial exposta, e não o tempo de uso efetivo. Pelos relatos, os sistemas das companhias não foram comprometidos, e a Amadeus diz que dados de pagamento ficam separados.

Quem se beneficia da narrativa. A Amadeus usa 'vulnerabilidade' e 'ambiente de exibição', o que reduz a percepção de falha de gestão de credenciais. As companhias usam 'não houve impacto em nossos sistemas', verdadeiro mas incompleto, pois os dados dos clientes delas é que vazaram. Nenhuma das partes tem incentivo para detalhar quanto tempo a conta ficou exposta. Isso explica por que a janela de 37 meses e o total de afetados são as lacunas mais relevantes.

Contexto de risco. A Amadeus atende centenas de companhias, e a cadeia de dependência é longa: Star Flyer, AIRDO e Solaseed Air recebem serviços de passageiros pela ANA e ainda apuravam o escopo. Korean Air tem previsto exigir reforço de segurança da Amadeus e revisar fornecedores. Companhias como Jeju Air, Eastar Jet e Air Premia disseram não ter recebido relato de exposição, mas não podem verificar de forma independente. Dado o tamanho do fornecedor, mais anúncios são esperados.

Limite desta apuração. Não consegui consultar a nota original da Amadeus nem manifestações de reguladores (PDPC de Singapura, PIPC da Coreia, PCPD de Hong Kong, PPC do Japão, AEPD na Espanha). A busca foi interrompida por limite de uso. Ausência nas minhas fontes não significa que não existam. A Cathay diz ter informado as autoridades competentes, e um agregador diz que a Coreia recebeu notificação.

Passageiros de ao menos oito companhias tiveram dados de reserva acessados sem autorização: nome, código de reserva, itinerário e classe. Em subconjuntos menores (cerca de 2 mil na JAL, 620 na SIA e 1.700 na ANA), também e-mail, telefone, passaporte, nacionalidade e número de passageiro frequente. Não há confirmação de acesso a dados de pagamento nem a senhas, e as operações de voo não foram afetadas. Na prática, o risco é phishing e golpes de reembolso ou alteração de itinerário que usam dados reais de viagem. A SIA relatou que reemitirá códigos de reserva de clientes com viagens futuras. Não há relato de uso indevido dos dados até agora, segundo Amadeus e Cathay.