Un acceso no autorizado a los sistemas de Amadeus, la empresa con sede en Madrid¹ que da tecnología de reservas, billetes y facturación a más de 400 aerolíneas², ha dejado expuestos datos de pasajeros de varias compañías. Singapore Airlines fue la última en contarlo, el 3 de noviembre³, con unos 46.000 registros de reserva. Amadeus asegura⁴ que no hay pruebas de acceso a datos de pago y que la investigación sigue abierta.

• ▹21 de septiembre: Amadeus recibe el aviso de una posible vulnerabilidad en un "entorno de visualización" de reservas, según le dijo a heise⁵.
• ▹24 de septiembre: Amadeus detecta el acceso no autorizado y no avisa a ANA ese día, según la cronología de la aerolínea⁶.
• ▹1 de octubre: Amadeus publica un comunicado breve², sin cifras ni nombres de aerolíneas.
• ▹13 de octubre: heise revela⁵ que había un volcado de memoria accesible sin autenticación, con credenciales y contraseñas de administrador, y que se podían consultar datos de pasajeros en claro.
• ▹16 de octubre: ANA se entera por otras aerolíneas y pregunta a Amadeus⁶.
• ▹20 de octubre: Amadeus avisa a ANA, a Korean Air⁷ y a Asiana⁸. A Japan Airlines² le llega el aviso el 23 y a Cathay Pacific⁹ el 28.

• ▹Japan Airlines y Japan Transocean Air: unos 92.000 clientes². En unos 2.000 casos hay también correo, teléfono, pasaporte y nacionalidad.
• ▹Cathay Pacific: unas 53.000 reservas⁹. En una parte menor, además, contacto, documento de viaje o número de viajero frecuente.
• ▹Singapore Airlines: unos 46.000 registros³, unos 620 de ellos con correo, teléfono y documento de viaje.
• ▹ANA: unos 37.800 clientes⁷, unos 1.700 con datos adicionales como el pasaporte. Star Flyer, Air Do y Solaseed Air también han avisado, tras saberlo por ANA.
• ▹Korean Air⁷ y Asiana⁸: números de reserva de algunos clientes, sin cifra total.
• ▹Malaysia Airlines¹⁰: dice que algunos datos pueden estar afectados, sin cifra.
• ▹Condor: lo ha confirmado a la prensa alemana¹¹, sin cifra.
• ▹Qantas: sigue comprobando¹² si hay reservas suyas.

Estas cifras no se pueden sumar, porque unas cuentan clientes y otras reservas. Amadeus no ha querido decir¹³ cuántas víctimas hay en total.

• ▹Entra en la web de la aerolínea escribiendo tú la dirección, busca su aviso y revisa tus reservas futuras.
• ▹Desconfía de cualquier mensaje que mencione tu vuelo y te pida dinero, la tarjeta o el documento, aunque los datos sean correctos. Aquí tienes cómo reconocer un correo de phishing.
• ▹Ante la duda, llama al número que aparece en la web oficial, nunca al que venga en el mensaje.
• ▹Si tienes un vuelo próximo, pregunta si pueden cambiarte el localizador.
• ▹Si te avisan de que tu pasaporte estaba entre los datos, guarda el aviso y pregunta a la aerolínea qué recomienda.
• ▹Si tienes dudas sobre un mensaje, el 017 de INCIBE¹⁴ es gratuito y confidencial.

Por eso conviene mirar qué dice tu contrato sobre los avisos. El artículo 33 del RGPD¹⁵ obliga al encargado a notificar al responsable sin dilación indebida, y al responsable a avisar a la autoridad, si es posible, en 72 horas desde que tiene constancia. Con la cronología de ANA⁶, entre la detección y su aviso pasaron 26 días. No digo que Amadeus haya incumplido nada: no sé cuándo supo qué datos eran de quién, y no conozco ninguna resolución al respecto. Lo que digo es que tu plan de respuesta no puede depender de que el proveedor avise rápido.

Si tienes equipo técnico, hay dos deberes claros. Las cuentas de sistema necesitan rotación de contraseñas, permisos mínimos y alertas cuando hacen algo raro. Y si usáis Spring Boot, comprobad que el endpoint heapdump no esté abierto a internet: heise no dice qué endpoint era exactamente, pero la documentación oficial¹⁶ lo deja restringido por defecto, así que abrirlo es una decisión que alguien toma.