Singapore Airlines ha comunicato che circa 46 mila registrazioni di prenotazione sono state coinvolte nella violazione di dati presso Amadeus. Per 620 di queste erano presenti ulteriori informazioni personali. Il caso è stato ripreso da Reuters nelle prime ore italiane del 4 novembre, dopo le comunicazioni della compagnia.
La cifra indica registrazioni di prenotazione, non necessariamente 46 mila persone diverse. La distinzione conta perché una prenotazione può includere più passeggeri e una stessa persona può avere più viaggi. Non è stato comunicato un conteggio specifico dei clienti italiani coinvolti.
Secondo le spiegazioni fornite dalla compagnia e riportate da CNA, le informazioni aggiuntive possono comprendere recapiti, dati dei documenti di viaggio e dettagli legati al programma KrisFlyer. Il contenuto disponibile può variare tra le registrazioni: non tutti i dati elencati vanno considerati presenti per ogni passeggero.
Singapore Airlines dichiara che i propri sistemi informatici non sono stati violati. Aggiunge che non risultano esposti dati bancari o delle carte di credito e che le prenotazioni non sono state modificate. Sono delimitazioni fornite dall’azienda sul perimetro dell’incidente, da mantenere attribuite alla fonte.
La compagnia sta contattando i clienti coinvolti. Per chi ha un viaggio prossimo è prevista anche la modifica del riferimento della prenotazione. Il codice PNR è un identificativo utilizzato per recuperare il viaggio: ricevere un nuovo riferimento non significa necessariamente dover acquistare nuovamente il biglietto.
Amadeus, nella propria comunicazione ufficiale, descrive una vulnerabilità in un ambiente che permette la visualizzazione delle prenotazioni. Il fornitore riferisce misure di contenimento e verifiche, precisando che non emergono indicazioni di ransomware né evidenze di esposizione finanziaria nel perimetro esaminato. L’indagine sull’incidente resta rilevante per definirne la portata.
L’episodio coinvolge anche comunicazioni di altre compagnie, ma i relativi numeri non sono intercambiabili. Cathay Pacific ha pubblicato un avviso anche in italiano per circa 53 mila prenotazioni. Quel dato riguarda un altro vettore e non va sommato ai passeggeri di Singapore Airlines come se misurasse persone uniche.
Cathay descrive un accesso non autorizzato attraverso credenziali assegnate a terzi e riferisce il ripristino delle password e interventi per contenere il problema. L’avviso riguarda prenotazioni nel periodo indicato dalla compagnia: non consente di attribuire automaticamente lo stesso intervallo temporale ai dati di Singapore Airlines.
Per chi parte dall’Italia la verifica concreta passa dalla comunicazione individuale e dai canali ufficiali del proprio vettore. L’assenza di una notifica non permette di dedurre dal solo aeroporto di partenza se una prenotazione rientri nel caso. Allo stesso modo, le dichiarazioni sull’incidente non costituiscono un avviso generale di cancellazione dei voli.
Il fornitore dichiara di aver rafforzato il monitoraggio e di lavorare con i soggetti interessati all’incidente. Le comunicazioni individuali dei vettori restano quindi distinte dall’aggiornamento tecnico generale: soltanto la propria compagnia può associare un determinato codice di viaggio alla lista delle prenotazioni coinvolte.