Via Amadeus, 92 mil reservas da JAL foram vistas
Japan Airlines (JAL) e Japan Transocean Air
alegado em · apurado em
A JAL e a JTA confirmaram, em comunicado próprio, que o sistema de passageiros do fornecedor Amadeus foi acessado sem autorização e que cerca de 92 mil reservas mostram traços de consulta externa, 2 mil delas com passaporte. O incidente é do fornecedor, não da JAL, e nenhum ator o reivindicou. Também não há fonte pública que explique a causa técnica no caso japonês.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real e foi confirmado pela própria vítima: a JAL e a JTA publicaram em 28/10/2026 que o Amadeus lhes reportou, em 23/10, traços de acesso externo a reservas. O que está confirmado é acesso ("形跡", traços de consulta), não exfiltração comprovada nem uso criminoso.
O número de 92 mil é o da empresa, não de um ator. Não há alegação de criminoso para comparar, então não existe distância ator-vítima a medir. Esse número vem do Amadeus via JAL e a Kyodo o descreve como "延べ" (total acumulado), de modo que pode não equivaler a 92 mil pessoas distintas.
O caso japonês faz parte de um evento maior no Amadeus, e não de um ataque isolado à JAL. Korean Air e Asiana comunicaram o mesmo incidente em 23/10, com janela estimada de agosto de 2023 a setembro de 2026. A ANA disse ter recebido notificação do Amadeus e apurar o impacto.
O vetor provável é uso de credencial válida de uma conta de sistema do Amadeus (T1078). Essa descrição vem dos comunicados das duas aéreas coreanas, que falam em acesso com credenciais de login atribuídas a uma conta. O comunicado da JAL não cita o vetor. Aplicar a descrição coreana ao caso japonês é inferência: a janela de datas coincide, mas isso não prova a mesma causa.
Não há base para ligar este caso ao vazamento de heap dump do Amadeus noticiado pela heise em 13/10/2026 (credenciais em texto claro, dados de Lufthansa, Condor e outras). Até onde encontramos, ninguém apresentou evidência de que sejam o mesmo evento. A coincidência de tempo e de fornecedor justifica a pergunta, não a conclusão.
Não há atribuição a ator nem sinal de extorsão ou venda dos dados nas fontes que lemos. A ausência de reivindicação não indica que o ator seja de baixo nível. Pode indicar espionagem ou coleta silenciosa, ou ausência de monetização até agora.
Análise
O registro anterior tratava isto como alegação (selo claimed, veredito unverified) e usava como nome da vítima a manchete da The Record. Isso estava errado em três pontos. Não há alegação de ator: a data de 28/10 é a do comunicado da própria JAL. A vítima direta é um fornecedor, o Amadeus IT Group, com a JAL e a JTA como clientes afetadas. E o fato é confirmado pela vítima, então o selo correto é confirmed e o veredito, real. O limite dessa confirmação é que ela cobre traços de acesso externo, não exfiltração demonstrada.
O que a JAL afirma, no comunicado de 28/10: em 23/10 o Amadeus informou traços de que parte das reservas fora acessada externamente por acesso não autorizado. O período vai de 10/08/2023 a 23/09/2026, e o total é de cerca de 92 mil pessoas. Para cerca de 90 mil, os campos vistos foram código de reserva, nome, data, trecho e classe. Para cerca de 2 mil, além desses, e-mail, telefone, passaporte, nacionalidade, número de milhagem, companhia, voo, bilhete e assento. Não houve exposição de cartão de crédito nem de senhas. Segundo a Asahi, fotos de passaporte não foram vistas. A empresa diz que o Amadeus já aplicou as medidas necessárias e que não há uso indevido confirmado até 28/10.
O que o Amadeus diz: não encontramos comunicado público dele sobre este incidente. Tudo o que sabemos sobre as medidas de contenção vem da JAL repetindo o fornecedor. Um analista terceiro (safeguard.sh) também não achou declaração do Amadeus sobre o caso das aéreas coreanas até 26/10. Portanto "medidas concluídas" e "sem uso indevido" são afirmações de segunda mão, sem verificação independente.
A causa técnica: Korean Air e Asiana descrevem acesso com credenciais de login atribuídas a uma conta de sistema do Amadeus, e a Korea Times acrescenta que as aéreas não encontraram violação de seus próprios sistemas. A JAL não descreve o vetor, e o rocket-boys observa justamente que o comunicado conjunto não confirma o mesmo mecanismo. A janela de quase três anos nos dois países, sob o mesmo fornecedor, sugere um acesso persistente a um ambiente compartilhado. Isso é inferência: não temos como saber se foi uma conta, se foram várias, ou se o início da janela reflete o início do acesso ou só a retenção de logs.
O que merece desconfiança na cobertura: manchetes japonesas usam "漏えい" (vazamento) enquanto o texto da JAL fala em "参照された形跡" (traços de consulta). Um relatório de terceiros (rescana) afirma que não houve movimento lateral para as redes das aéreas. A fonte é de baixa confiabilidade e repete o que os comunicados coreanos dizem sobre ausência de violação dos sistemas próprios das aéreas. Tratamos como informação possivelmente verdadeira, não como achado técnico. Há também um intervalo de cerca de 27 dias entre o fim da janela (23/09) e a notificação às aéreas coreanas (20/10), e de 30 dias até a notificação à JAL. Não sabemos se o Amadeus detectou o acesso só no fim de setembro ou se demorou a notificar. Essa pergunta é relevante para as obrigações de notificação de fornecedor a cliente, e nenhuma fonte a responde.
O contexto japonês: a The Record enquadra o caso numa onda de incidentes no país (Sony Network Communications, Burger King Japan, Capcom, um serviço de câmbio), e diz que a primeira-ministra Sanae Takaichi realizou reunião de gabinete sobre ciberataques. Nada nas fontes liga esses casos ao Amadeus. Tratá-los como campanha única seria extrapolação. A JAL já havia comunicado em 2026 outro incidente, em serviço de entrega de bagagem (cerca de 28 mil usuários, segundo agregadores), e em dezembro de 2024 sofreu um ataque de DDoS que atrasou voos. São vetores e eventos distintos, e não há evidência de relação com este.
Sobre o regulador: nas buscas que fizemos não encontramos manifestação da Comissão de Proteção de Informações Pessoais do Japão (PPC) nem do ministério dos transportes sobre este caso. Isso pode refletir só o que foi indexado até agora, e não significa que não haja notificação.
Cronologia
- 10 ago 2023Início do período em que, segundo a JAL, há traços de consulta externa a registros de reserva de voos JL/NU. Korean Air e Asiana falam em "agosto de 2023".
- 23 set 2026Fim do período informado pela JAL para os traços de acesso externo. As fontes não explicam o que ocorreu nesta data.
- 13 out 2026A heise online publica falha separada no Amadeus: credenciais em texto claro expostas por heap dump, com dados de passageiros de várias companhias. O Amadeus confirmou à heise um ambiente de exibição exposto. Não há vínculo comprovado com este caso.
- 20 out 2026O Amadeus notifica Korean Air e Asiana de sinais de vazamento de dados pessoais, segundo a imprensa coreana e o resumo do piyolog.
- 23 out 2026O Amadeus reporta a JAL e a JTA o acesso não autorizado. No mesmo dia, Korean Air e Asiana divulgam o incidente.
- 28 out 2026JAL e JTA publicam o comunicado: cerca de 92 mil clientes, 2 mil com passaporte, sem cartão de crédito nem senhas. A imprensa japonesa informa que a ANA também foi notificada e apura o impacto.
Dados envolvidos
Impacto
Cerca de 92 mil pessoas com reservas JAL/JTA entre ago/2023 e set/2026 têm dados com traços de consulta externa. Cerca de 2 mil tiveram também e-mail, telefone, passaporte, nacionalidade, milhagem, bilhete e assento vistos. Nenhuma fonte confirma uso criminoso até 28/10, e a JAL diz que cartões e senhas não foram afetados. O risco prático é phishing e vishing com contexto verdadeiro (código de reserva e voo reais) e fraude de identidade apoiada em passaporte para o grupo menor. A JAL diz que vai avisar os afetados individualmente. Operação de voos não foi afetada. O impacto potencial vai além da JAL: Korean Air e Asiana comunicaram o mesmo incidente, a ANA foi notificada e o Amadeus atende muitas companhias, mas o alcance total ainda não foi divulgado.
Elos técnicos
Recomendações
- Clientes e viajantes corporativos: tratar contatos que citem código de reserva, voo ou nome como possível phishing, mesmo com dados corretos. Validar apenas por canal oficial iniciado por você.
- Afetados com passaporte exposto: monitorar uso do número em verificações de identidade e KYC e avaliar junto à autoridade emissora se há necessidade de reemissão. Isto é decisão do titular com base no risco, não exigência do comunicado.
- Equipes de segurança de companhias e agências que usam o Amadeus: auditar contas de serviço e credenciais compartilhadas com o fornecedor, exigir rotação, MFA e restrição por origem, e pedir ao fornecedor os logs de consultas em massa do seu escopo para o período de ago/2023 a set/2026.
- Gestão de terceiros: contratar prazo máximo de notificação de incidente e retenção de logs que permitam reconstruir o acesso por cliente. Neste caso a janela é de cerca de três anos e a notificação veio cerca de um mês após o fim dela.
- Detecção: procurar nos logs do seu lado do Amadeus por consultas de volume anormal de PNR, buscas por critério amplo e acessos de IPs ou horários fora do padrão (T1078).
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Qual foi o vetor técnico no caso da JAL, e se é a mesma conta ou credencial citada pelas aéreas coreanas. Resolveria: comunicado técnico do Amadeus ou relatório da JAL à autoridade.
Se os 92 mil são pessoas distintas ou registros acumulados (a Kyodo usa "延べ"). Resolveria: esclarecimento da JAL ou do Amadeus sobre a metodologia de contagem.
Se houve exfiltração ou só consulta ("形跡" de referência). Resolveria: informação sobre logs de saída de dados e sobre o que o Amadeus consegue provar.
O que aconteceu em 23/09/2026 e por que a notificação levou cerca de um mês. Resolveria: linha do tempo de detecção e contenção do Amadeus.
Quem é o ator e qual a motivação, já que ninguém reivindicou. Resolveria: atribuição de autoridade, resposta da empresa ou publicação do ator.
O tamanho do impacto na ANA e em outras clientes do Amadeus. Resolveria: comunicados da ANA e de outras companhias.
Se há relação com a falha de heap dump divulgada em 13/10. Resolveria: confirmação do Amadeus sobre causa raiz.
Posição de reguladores (PPC, ministério dos transportes, autoridades europeias e coreanas). Não encontramos manifestação; resolveria: comunicados regulatórios ou autos.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.