Golpes com dados reais em Hong Kong; origem segue desconhecida

Não há ator reivindicando nada. Não há fórum, grupo ou número alegado por criminoso. Tudo o que se sabe vem do regulador (PCPD), das empresas e de relatos de vítimas. Por isso o campo de registros alegados fica vazio, e o número apurado é um piso do regulador, não uma alegação inflada nem desmentida.

O que o PCPD afirma: a HKA o notificou em 2 de outubro, com 815 passageiros (voos de 29/09 a 22/10) que receberam ligações sobre cancelamento e compensação. A YOHO o notificou em 5 de outubro, com 790 clientes (pedidos de 29/09 a 12/10) que receberam ligações sobre pacote danificado e reembolso. A Broadway notificou depois, sem número divulgado. Os dados possivelmente afetados são nome, telefone, endereço de entrega, número e detalhes do pedido, data, número e rota do voo. A soma 815 + 790 = 1.605 é o que a imprensa de Hong Kong chama de 'pelo menos 1.600 afetados'. Mede quem já foi ligado, não quantos registros saíram.

O que as empresas admitem: a HKA diz ter acionado a polícia, notificado o PCPD e contratado consultoria independente de segurança, trabalho ainda em curso. Já em 30 de setembro publicara aviso dizendo que as ligações não partem dela e que não responde por perdas. A YOHO afirma que não pede dados completos de cartão nem códigos de verificação. A Broadway disse, segundo a imprensa local, que seu site tem criptografia e segurança rigorosas, o que não explica a origem dos dados. Nenhuma das três divulgou a causa. Em 29 de outubro a comissária Ada Chung disse que as empresas ainda não haviam entregado alguns detalhes e pediu que avisassem os clientes logo. Um detalhe de governança: pela lei de Hong Kong a notificação de vazamento não é obrigatória. A YOHO só divulgou publicamente mais de uma semana depois de avisar o regulador.

O ponto em que nosso registro e a manchete confundem o leitor: o comunicado consolidado de 2 de novembro cita cinco organizações, mas são dois episódios diferentes. No primeiro, três organizações tiveram clientes com dados verdadeiros usados em golpes de reembolso, sem causa conhecida. No segundo, o acesso não autorizado ao Amadeus, fornecedor de reservas: a Cathay informou cerca de 53 mil reservas (reservas, não pessoas) entre agosto de 2023 e setembro de 2026, com credenciais de uma conta de sistema do Amadeus. A Malaysia Airlines diz que seus sistemas não foram comprometidos e que o incidente está no fornecedor, com escopo ainda em avaliação. A Japan Airlines informou cerca de 92 mil clientes, e ANA, Korean Air, Asiana e Qantas também foram afetadas. A Cathay disse que o Amadeus não achou evidência de uso indevido dos dados. Não encontramos fonte que ligue o caso do Amadeus aos golpes contra clientes da HKA, da YOHO ou da Broadway, nem que diga que a HKA usa os sistemas do Amadeus afetados.

A versão dominante em Hong Kong é 'ataque à cadeia de suprimentos'. Ela vem de Francis Fong (federação de TI), citado em vários veículos, e de um legislador que repetiu a tese, ressalvando que a causa real depende de investigação. Outro especialista ouvido pela imprensa local disse que as empresas podem ter falhas parecidas em redes próprias, ou usar a mesma plataforma, e que não dá para saber. O que sustenta a ideia de fonte comum é a coincidência: HKA e YOHO têm janelas que começam no mesmo dia (29/09), e os roteiros de golpe são parecidos. O que a enfraquece é que os dados são diferentes (reserva de voo versus pedido de varejo). Um mesmo grupo de fraude pode ter obtido dados por vias distintas, ou apenas usado o mesmo roteiro, que é comum em Hong Kong. Ninguém demonstrou nem refutou nenhuma das hipóteses.

Sobre o impacto: o PCPD afirma que as perdas informadas vão de cerca de HK$10 mil a mais de HK$1,5 milhão. O HKCERT, citando a polícia, relata um caso em que uma aposentada perdeu HK$1,2 milhão em golpe de falso atendimento da companhia aérea. Como a imprensa de Hong Kong também relata um caso de HK$1,36 milhão, não dá para saber se são casos distintos, e o regulador não detalha os casos que compõem o teto de HK$1,5 milhão. O volume de contatos ao regulador cresceu de 43 (26/10) para 64 (27/10), 85 (29/10) e 99 (30/10). Dados de pedido e de voo bastam para dar credibilidade ao golpe, porque o golpista cita o número do voo ou do pedido que a vítima acabou de fazer.

Correção à nossa análise: o registro tinha 'claimed/unverified' e uma organização com nome de manchete. A evidência o contraria. A existência dos incidentes está confirmada pelo regulador de Hong Kong e pelas empresas, e o selo correto é 'confirmed/real'. O que não está confirmado é a causa, o tamanho da base exposta e a relação entre os dois episódios. Também não classificamos como 'inflated': não há número alegado por ator para comparar. Limitação desta apuração: lemos o comunicado do PCPD por intermédio de RTHK, TVB e outros veículos, não a página do regulador, e os dados do Amadeus vêm de avisos das empresas relatados pela imprensa, não de comunicado do próprio Amadeus.

Pelo menos 1.605 pessoas (815 passageiros da Hong Kong Airlines e 790 clientes da YOHO) receberam ligações fraudulentas com dados verdadeiros. Os clientes da Broadway também foram afetados, em número não divulgado. O regulador contabilizou 99 reclamações e consultas até 30/10, com perdas de cerca de HK$10 mil a mais de HK$1,5 milhão. Há o caso de uma aposentada que perdeu HK$1,2 milhão. Os dados são de contato, de pedido e de voo. Não há informação pública de vazamento de dados de pagamento nesses três casos. Em paralelo, Cathay e Malaysia Airlines têm clientes expostos via Amadeus (Cathay: cerca de 53 mil reservas), mas sem uso indevido relatado até agora.