Киберинцидент в системе бронирования Amadeus затронул сразу несколько международных авиакомпаний. К числу пострадавших перевозчиков присоединилась Malaysia Airlines, предупредившая о возможной утечке персональных данных пассажиров. Масштаб происшествия продолжает расти.
Malaysia Airlines в опубликованном 31 октября предупреждении сообщила, что посторонние могли получить доступ к сведениям клиентов, которые обрабатывались через Amadeus с августа 2023 года по сентябрь 2026 года. Собственные информационные системы авиакомпании не пострадали, а признаков доступа к финансовой информации пока нет. Сколько пассажиров затронул инцидент, перевозчик не уточнил.
Проблема возникла на стороне испанской Amadeus, одного из крупнейших мировых поставщиков технологий для авиационной отрасли. Компания обслуживает сотни авиаперевозчиков, предоставляя системы бронирования и обработки пассажирских данных. Поэтому несанкционированный доступ к инфраструктуре одного поставщика затронул клиентов сразу нескольких независимых авиакомпаний, которым злоумышленникам не потребовалось взламывать собственные системы.
О возможной компрометации пассажирских записей уже сообщили Cathay Pacific, Japan Airlines, Japan Transocean Air, All Nippon Airways, Korean Air и Asiana Airlines. Наиболее подробные сведения раскрыли японские перевозчики. Согласно уведомлению Japan Airlines, посторонние могли просмотреть информацию примерно 92 тысяч клиентов JAL и Japan Transocean Air. У 90 тысяч человек затронуты номера бронирований, имена, даты перелётов, маршруты и классы обслуживания.
Ещё примерно у 2 тысяч пассажиров Japan Airlines потенциально раскрылись дополнительные сведения, включая электронную почту, телефонные номера, паспортные данные, гражданство и номера программ лояльности. Японская All Nippon Airways подтвердила аналогичную проблему примерно у 37 800 клиентов. Среди них около 1700 человек могли столкнуться с раскрытием расширенного набора персональных данных, включая номера паспортов.
Гонконгская Cathay Pacific оценила число затронутых бронирований примерно в 53 тысячи. В большинстве записей содержались имена пассажиров, номера заказов и сведения о рейсах. В отдельных случаях посторонним могли стать доступны адреса электронной почты, телефоны, данные проездных документов и номера участников бонусных программ. Число бронирований не обязательно совпадает с количеством уникальных пассажиров.
По информации Cathay Pacific, неизвестные проникли в систему Amadeus с помощью действительных учётных данных системной учётной записи. Такой доступ позволял просматривать сведения о бронированиях без отдельного проникновения в инфраструктуру каждой авиакомпании. Каким образом злоумышленники получили учётные данные, пока не раскрывается. Amadeus также признала наличие проблемы безопасности в среде отображения туристических бронирований, однако подробного технического описания уязвимости не предоставила.
После обнаружения инцидента Amadeus сменила соответствующие пароли, отозвала скомпрометированные учётные данные и усилила мониторинг подозрительной активности. Компания продолжает расследование. Признаков использования обнаруженной проблемы для атак с вымогательским программным обеспечением пока нет. Также не установлено, сколько авиакомпаний и пассажиров пострадали в общей сложности. Уведомления перевозчиков подтверждают несанкционированный доступ к записям, но не раскрывают точные даты каждого подключения посторонних.
Первые уведомления авиакомпании начали получать ещё до публичного раскрытия происшествия. Japan Airlines узнала о проблеме 23 октября, а Cathay Pacific получила предупреждение 28 октября и дополнительные подробности на следующий день. Данные, к которым могли обращаться посторонние, охватывают период с августа 2023 года по сентябрь 2026 года. При этом доступный временной диапазон не позволяет установить, сохранялся ли контроль злоумышленников над системой непрерывно на протяжении трёх лет.
Особую опасность представляет содержимое пассажирских записей PNR, которые связывают имя путешественника с конкретным бронированием, маршрутом и другими сведениями о поездке. В зависимости от правил авиакомпании сочетание фамилии и номера бронирования может позволить открыть раздел управления перелётом. Возможности такого доступа и связанные с ним риски различаются у разных перевозчиков.
Даже без банковских карт и паролей сведения о поездках могут помочь мошенникам подготовить убедительные сообщения от имени авиакомпании. Зная имя пассажира, номер рейса и дату вылета, преступники способны имитировать уведомления об изменении расписания, необходимости подтвердить бронирование или доплатить за билет. Подобные методы адресного фишинга уже встречались в других сервисах туристического бронирования, однако подтверждений преступного использования данных из нынешнего инцидента Amadeus пока нет.
Japan Airlines и All Nippon Airways отдельно подчеркнули, что сведения о банковских картах и пароли клиентов не были затронуты. Cathay Pacific также не обнаружила признаков доступа к платёжной информации и нарушения работы собственных систем. Malaysia Airlines продолжает оценивать последствия вместе с Amadeus и призывает пассажиров осторожно относиться к неожиданным письмам, звонкам и сообщениям с запросами персональных или финансовых сведений. Проверять любые изменения бронирования перевозчики советуют непосредственно через официальные приложения и сайты.