Un acceso no autorizado a la plataforma de reservas Amadeus dejó al descubierto información de pasajeros de al menos cuatro aerolíneas asiáticas: Singapore Airlines, Japan Airlines, ANA y Cathay Pacific. Las compañías que difundieron cifras suman alrededor de 229.000 clientes, reservas o registros alcanzados, con nombres, itinerarios y, en miles de casos, números de pasaporte. Singapore Airlines informó el 3 de noviembre de 2026 que unos 46.000 registros suyos se vieron comprometidos.

Qué datos quedaron al descubierto

En el caso de Singapore Airlines, la filtración incluye nombres, códigos de reserva, itinerarios y clases de viaje. En cerca de 620 casos pudieron quedar expuestos además correos electrónicos, teléfonos, datos de documentos de viaje y números del programa de viajero frecuente KrisFlyer. La aerolínea aclaró que sus propios sistemas no fueron vulnerados: la información estaba alojada en la plataforma de Amadeus.

Japan Airlines y su filial Japan Transocean Air calcularon unos 92.000 clientes afectados. En aproximadamente 90.000 aparecen código de reserva, nombre, fecha, ruta y clase; en unos 2.000 se suman correo, teléfono, número de pasaporte, nacionalidad y número de ticket. Amadeus notificó a la compañía el 23 de octubre de 2026.

ANA reportó cerca de 37.800 clientes, de los cuales unos 1.700 tuvieron expuestos también datos de contacto y de pasaporte. Cathay Pacific contabilizó unas 53.000 reservas: en la mayoría figuran código, nombre y vuelo, y en un grupo menor aparecen contactos, documentos de viaje o número de viajero frecuente. Amadeus le comunicó la situación el 28 de octubre de 2026.

Las cifras no son comparables entre sí: algunas aerolíneas hablan de clientes, otras de reservas o de registros. Korean Air y Asiana también reconocieron exposición de números de reserva, y Malaysia Airlines indicó que información de sus clientes pudo verse afectada. Qantas investiga si sus reservas fueron alcanzadas.

Cómo se produjo el acceso

Cathay Pacific sostuvo que una persona no autorizada ingresó a los datos con las credenciales de una cuenta del sistema de Amadeus. ANA afirmó que esas credenciales ya fueron revocadas. Amadeus, en cambio, describió una vulnerabilidad en su entorno de consulta de reservas que dejó ciertos datos accesibles. Las fuentes consultadas no aclaran si ambas descripciones corresponden al mismo fallo.

La empresa agregó que no hay indicios de que la información se haya usado para pedir rescate, que corrigió el problema y que reforzó la vigilancia. Según PhocusWire, las aerolíneas ubican el acceso entre agosto de 2023 y septiembre de 2026, y Amadeus avisó a las compañías entre el 20 y el 28 de octubre de 2026. Amadeus no precisó cuántos de sus clientes fueron alcanzados.

El riesgo de los mensajes falsos

Ninguna de las aerolíneas encontró pruebas de que los datos se hayan usado de forma indebida. Japan Airlines y ANA pidieron a los pasajeros estar atentos a correos, llamadas y sitios que imiten a la compañía. Con un código de reserva y un itinerario reales, un mensaje fraudulento gana credibilidad.

"Notificaremos de forma individual a los afectados cuando terminemos de analizar los datos que nos entregó Amadeus", señaló Cathay Pacific.

Japan Airlines ya escribió a sus clientes y abrió una línea de consultas. Singapore Airlines, por su parte, contacta a los pasajeros con viajes próximos para cambiarles el código de reserva. Amadeus confirmó que no se expusieron datos bancarios ni de tarjetas y que ninguna reserva fue modificada.

Investigación en curso

El 4 de noviembre de 2026, la Comisión de Protección de Datos Personales de Singapur informó que investiga el caso, según The Straits Times. Ese medio recordó que sería el tercer incidente de datos que afecta a Singapore Airlines desde 2021. El episodio se suma a una serie de ataques informáticos que atraviesan distintos sectores, como el que alcanzó la infraestructura de refrigeración comercial de cadenas minoristas en Suecia, Bélgica, Irlanda, Luxemburgo, los Países Bajos y Estonia.