Una brecha en Amadeus expone datos de pasajeros de cuatro grandes aerolíneas

Amadeus IT Group, la tecnológica española detrás del sistema de reservas que usan cientos de aerolíneas en todo el mundo, ha sufrido un acceso no autorizado a sus sistemas que ha expuesto datos de pasajeros de al menos cuatro compañías de Asia-Pacífico. Japan Airlines, ANA, Cathay Pacific y Malaysia Airlines lo han confirmado en avisos oficiales publicados desde finales de octubre. Amadeus, con sede en Madrid y presente en el IBEX 35, no ha publicado de momento un comunicado propio sobre el incidente.

La descripción más precisa de lo ocurrido la da Cathay Pacific: «unauthorised access to travel reservation data in its systems by an unauthorised party using login credentials assigned to its system account». Traducido: alguien entró con las credenciales legítimas de una cuenta del sistema, no rompiendo las defensas técnicas. Los datos expuestos corresponden a reservas realizadas entre el 10 de agosto de 2023 y el 23 de septiembre de 2026, según detallan Japan Airlines y ANA. Cathay Pacific sitúa el acceso no autorizado entre agosto de 2023 y septiembre de 2026.

El alcance se conoce aerolínea a aerolínea y con unidades distintas. Japan Airlines, que incluye a Japan Transocean Air, cifra en unos 92.000 los clientes afectados: para unos 90.000, código de reserva (PNR), nombre, fecha de vuelo, ruta y clase; para unos 2.000, además, correo, teléfono, número de pasaporte, nacionalidad, viajero frecuente, billete y asiento. Cathay Pacific habla de unas 53.000 reservas: referencia, nombre y datos de vuelo en la mayoría, y en un subconjunto menor también contacto y documento de viaje. ANA sitúa en unos 37.800 sus clientes afectados, unos 1.700 con pasaporte entre lo expuesto. Malaysia Airlines confirma que el incidente «may have affected certain customer information processed through Amadeus between August 2023 and September 2026», no da cifras y subraya que sus propios sistemas no han sido comprometidos.

En lo que todas coinciden es en lo que no ha pasado. Ninguna ha encontrado números de tarjetas ni contraseñas entre los datos expuestos, ni evidencia de uso fraudulento. Cathay precisa que «there is no evidence that financial or payment information was accessed» y JAL asegura que el incidente no ha tenido impacto en sus operaciones. Según las aerolíneas, Amadeus revocó las credenciales comprometidas, restableció contraseñas y reforzó la monitorización; JAL da por completadas las medidas necesarias. Cathay ha informado a las autoridades y las cuatro compañías contactan con los clientes afectados.

Queda, sin embargo, mucho por saber. Amadeus no ha publicado comunicado ni cifra global, de modo que el alcance se conoce a cuentagotas y nada garantiza que la lista de aerolíneas esté cerrada. Ninguna compañía atribuye el acceso a un grupo concreto ni explica cómo llegaron esas credenciales a manos de terceros. Tampoco se ha precisado en qué momento de ese periodo se produjo el acceso ni cuánto tiempo permaneció activo.

Las aerolíneas que lo han confirmado operan en Asia-Pacífico y, en los comunicados oficiales consultados, ninguna compañía española ha informado de momento de datos afectados. El caso interesa aquí por dos vías. La primera es obvia: Amadeus es española y su tecnología sostiene reservas que también hacen viajeros y agencias de nuestro país. La segunda es que es un ejemplo de manual del riesgo que lleva meses señalando la AEPD: en el primer semestre de 2026 la Agencia recibió más de 3.000 notificaciones de brechas de datos personales, más que en todo 2025, y recuerda que responsables y encargados de tratamiento deben adoptar medidas adecuadas al riesgo.

Los avisos a las aerolíneas, además, llegaron escalonados: Japan Airlines conoció el incidente el 23 de octubre y Cathay Pacific el 28, un día antes de recibir los detalles. El caso queda ahora a la espera de Amadeus: de su versión dependerá saber si la lista de compañías afectadas está cerrada y en qué momento y durante cuánto tiempo se produjo realmente el acceso.

Imagen de cabecera: panel de salidas y llegadas de un aeropuerto. Foto: Josh Withers, Pexels.