Una brecha en Amadeus afecta a 228.800 reservas y clientes en Asia

Una brecha de seguridad en Amadeus, la multinacional española especializada en tecnología para el sector turístico, ha dejado expuestos datos personales y de reservas de cientos de miles de registros de viajeros de distintas aerolíneas asiáticas. Singapore Airlines ha sido la última gran compañía en confirmar el alcance del incidente, que también afecta a Japan Airlines, All Nippon Airways (ANA), Cathay Pacific y otras operadoras de la región.

La aerolínea de Singapur ha comunicado que aproximadamente 46.000 reservas se han visto comprometidas, mientras que Japan Airlines ha identificado unos 92.000 clientes afectados, ANA otros 37.800 y Cathay Pacific alrededor de 53.000 reservas. El incidente ha permitido el acceso no autorizado a nombres, itinerarios, localizadores de vuelos y, en determinados casos, información de contacto y documentos de viaje. Amadeus asegura que no existen pruebas de acceso a datos bancarios o tarjetas de crédito.

La dimensión del problema va más allá de una compañía. Amadeus suministra sistemas de reservas y gestión de pasajeros a cientos de aerolíneas de todo el mundo. Una vulnerabilidad en sus plataformas puede, por tanto, afectar a viajeros de diferentes países sin que los sistemas informáticos de las compañías aéreas hayan sufrido directamente un ataque.

Los primeros avisos a algunas aerolíneas llegaron durante octubre, pero las comunicaciones públicas se han sucedido hasta este 4 de noviembre de 2026, cuando el caso ha adquirido mayor repercusión internacional tras conocerse los datos de Singapore Airlines. Las cifras conocidas de cuatro compañías suman 228.800 registros de reservas y clientes afectados, aunque todavía no existe un balance global definitivo.

Singapore Airlines confirma 46.000 reservas afectadas

Singapore Airlines informó el martes 3 de noviembre de que un tercero había accedido sin autorización a información almacenada en la plataforma de Amadeus, utilizada para determinados procesos de reserva y gestión de billetes.

Entre los datos comprometidos figuran nombres de pasajeros, referencias de reserva, itinerarios y clases de viaje. Se trata de información que permite identificar desplazamientos concretos y que, combinada con otros datos personales, puede resultar útil para quienes intenten cometer fraudes.

La compañía ha precisado que, dentro de esos 46.000 registros, aproximadamente 620 reservas podrían incluir información adicional especialmente sensible, como direcciones de correo electrónico, números de teléfono, datos de documentos de viaje y números de afiliación al programa de fidelización KrisFlyer.

Singapore Airlines sostiene que sus propios sistemas informáticos no fueron vulnerados y que el incidente se produjo en la infraestructura de su proveedor tecnológico.

También ha confirmado que las reservas no fueron modificadas y que, según la información facilitada por Amadeus, no se produjo una exposición de cuentas bancarias ni tarjetas de crédito.

Como medida preventiva, la aerolínea está contactando directamente con los pasajeros afectados que tienen próximos desplazamientos para cambiar sus localizadores de reserva. Asimismo, ha comunicado el incidente a las autoridades competentes.

Japan Airlines, ANA y Cathay Pacific también sufren la brecha

El alcance de la vulnerabilidad se había hecho público días antes en Japón y Hong Kong, donde varias compañías reconocieron accesos no autorizados a información de sus pasajeros.

Japan Airlines (JAL), junto con Japan Transocean Air, comunicó que aproximadamente 92.000 clientes habían resultado afectados.

En unos 90.000 casos, la información incluía nombres, códigos de reserva, fechas de vuelo, trayectos y clases contratadas. Para otros 2.000 clientes, la exposición fue más amplia y alcanzó datos como números de pasaporte, nacionalidad, teléfonos, correos electrónicos, números de billete y programas de fidelización.

La aerolínea japonesa indicó que recibió la notificación de Amadeus el 23 de octubre y aseguró que el incidente no afectó a sus operaciones aéreas.

Por su parte, All Nippon Airways (ANA) confirmó el 30 de octubre que aproximadamente 37.800 pasajeros estaban afectados. De ellos, unos 1.700 podrían haber visto comprometidos datos adicionales, incluidos números de pasaporte e información de contacto.

La compañía hongkonesa Cathay Pacific ha identificado alrededor de 53.000 reservas afectadas. Recibió el aviso de Amadeus el 28 de octubre y, un día después, información adicional sobre el acceso no autorizado.

Las cifras de estas cuatro aerolíneas suman 228.800 registros de reservas y clientes afectados, aunque no representan necesariamente 228.800 personas distintas, puesto que las compañías utilizan unidades de recuento diferentes.

Otras aerolíneas investigan el alcance

El incidente también ha sido reconocido por Korean Air, Asiana Airlines y Malaysia Airlines, aunque no todas han publicado cifras definitivas sobre el número de pasajeros o reservas comprometidas.

Malaysia Airlines ha reconocido que determinada información de clientes procesada mediante los sistemas de Amadeus podría haberse visto afectada.

La existencia de varias investigaciones todavía abiertas impide establecer una cifra global definitiva. Tampoco significa que todos los pasajeros de estas aerolíneas hayan quedado expuestos: el incidente afecta a determinados registros procesados en el entorno comprometido.

Qué ha ocurrido en Amadeus y durante cuánto tiempo

Amadeus ha explicado que detectó una vulnerabilidad en un entorno de visualización de reservas de viajes, mediante la cual determinados datos podían quedar accesibles sin la autorización correspondiente.

En el caso de Cathay Pacific, la compañía ha precisado que el acceso se produjo utilizando credenciales asignadas a una cuenta de sistema de Amadeus.

La investigación ha identificado accesos no autorizados relacionados con registros comprendidos entre el 10 de agosto de 2023 y el 23 de septiembre de 2026, según la información publicada por Japan Airlines.

Este periodo resulta especialmente relevante porque muestra que el problema no se limita a las reservas realizadas durante unas pocas jornadas recientes.

No obstante, debe distinguirse entre el intervalo de registros afectados y una posible extracción continuada de información. Los comunicados conocidos no permiten determinar que todos esos datos fueran consultados permanentemente durante más de tres años.

Amadeus ha informado de que adoptó medidas para corregir la vulnerabilidad y reforzó los mecanismos de supervisión y detección de actividades sospechosas.

La empresa española mantiene abiertas las investigaciones y ha comunicado que, hasta el momento, no existen indicios de que la vulnerabilidad se haya utilizado para desplegar ataques de ransomware ni pruebas de acceso a información financiera.

Las compañías afectadas tampoco han comunicado interrupciones generalizadas de vuelos como consecuencia directa de esta brecha.

Qué datos personales corren peligro y qué pueden hacer los pasajeros

Aunque los datos bancarios no figuren entre la información comprometida, la exposición de una reserva aérea puede tener consecuencias importantes para la privacidad.

Un localizador de reserva, conocido técnicamente como PNR, identifica una operación de viaje. Cuando se combina con otros datos personales, puede facilitar intentos de acceso indebido a información de una reserva, dependiendo de los controles establecidos por cada aerolínea.

También puede servir para preparar campañas de suplantación de identidad o phishing especialmente convincentes.

Un delincuente que conoce el nombre de un pasajero, la compañía con la que vuela y las fechas de su itinerario dispone de información suficiente para elaborar un mensaje fraudulento que aparente proceder de una aerolínea.

Ese es uno de los riesgos más inmediatos, aunque no implica que se haya confirmado una utilización fraudulenta de los datos expuestos.

Las propias compañías están recomendando precaución ante mensajes, llamadas o páginas web fraudulentas que soliciten información personal alegando incidencias con una reserva.

Los pasajeros que hayan comprado billetes con las aerolíneas afectadas deben prestar especial atención a las comunicaciones oficiales, comprobar cualquier aviso mediante la aplicación o la página auténtica de la compañía y evitar introducir datos personales a través de enlaces recibidos por correo electrónico o SMS.

Si una aerolínea comunica que va a sustituir el código de reserva, conviene utilizar exclusivamente sus canales oficiales para verificar el cambio.

No existe, por la información divulgada hasta el momento, una indicación general de que todos los viajeros deban cancelar sus billetes, cambiar sus contraseñas o solicitar nuevos pasaportes. Las actuaciones concretas dependerán de los datos expuestos en cada caso y de las recomendaciones de la compañía correspondiente.

Por qué el incidente afecta a una empresa española y a aerolíneas de Asia

Amadeus IT Group es una de las principales empresas tecnológicas españolas y desarrolla herramientas utilizadas por aerolíneas, aeropuertos, agencias de viajes, hoteles y otros operadores turísticos.

Su actividad incluye soluciones para gestionar reservas, emisión de billetes, facturación y servicios a pasajeros, entre otros procesos esenciales del transporte aéreo.

Buena parte de esa infraestructura funciona a través de sistemas compartidos y servicios tecnológicos proporcionados a terceros. Por eso, un fallo en un proveedor puede tener repercusiones internacionales incluso cuando las compañías clientes mantienen protegidas sus propias redes.

Es una de las características de la ciberseguridad en sectores tan interconectados como la aviación: la protección de los datos no depende únicamente de la empresa que vende el servicio al consumidor, sino también de las organizaciones que procesan información por su cuenta.

En este caso, tanto Singapore Airlines como Japan Airlines y Cathay Pacific han subrayado que sus sistemas operativos no se han visto comprometidos directamente.

El problema se concentra en el entorno tecnológico de Amadeus, que actúa como proveedor de servicios relacionados con las reservas.

La investigación continúa y el número de afectados podría aumentar

La publicación escalonada de los incidentes durante los últimos días refleja que las aerolíneas siguen examinando la información facilitada por Amadeus para determinar qué clientes están afectados y qué datos concretos fueron consultados.

Las cifras disponibles son todavía provisionales y no permiten establecer un balance mundial definitivo.

El hecho de que no se hayan detectado accesos a datos financieros ni alteraciones de reservas reduce algunos de los riesgos más inmediatos, pero no elimina las consecuencias de la exposición de información personal.

La prioridad para las compañías afectadas es completar la identificación de los registros comprometidos, informar a sus clientes y comprobar que las medidas correctoras impiden nuevos accesos no autorizados.

Para Amadeus, el incidente supone un problema de seguridad de alcance internacional. Para los pasajeros, la cuestión es más concreta: saber si sus datos están entre los afectados y proteger sus reservas frente a posibles intentos de fraude mientras continúa la investigación.