ANA afirma que 37 800 clientes poderão ter sido afetados por uma violação de segurança da Amadeus, incluindo 1 700 números de passaporte

Dados de reservas expostos através de um fornecedor de tecnologia de uma companhia aérea

A All Nippon Airways anunciou, a 30 de outubro de 2026, que os dados de reservas de cerca de 37 800 clientes poderão ter sido expostos após um acesso não autorizado a sistemas geridos pela sua contratada tecnológica espanhola, a Amadeus IT Group. Cerca de 1 700 clientes tinham também números de passaporte e outros dados pessoais entre as informações que apresentavam indícios de acesso a partir do exterior do sistema.

A ANA afirmou que a Amadeus detetou o acesso não autorizado a 24 de setembro, mas a companhia aérea só recebeu um relatório da contratada a 20 de outubro, 26 dias depois. A ANA tinha pedido à Amadeus que investigasse a sua exposição após ter sabido, a 16 de outubro, que outras companhias aéreas que recorriam ao fornecedor tinham sido afetadas.

A companhia aérea identificou dois grupos de clientes afetados. Cerca de 36 100 tiveram dados básicos de reserva expostos, incluindo nomes e dados de viagem. Cerca de 1 700 tiveram um conjunto mais alargado de informações envolvido, incluindo dados de contacto, números de passaporte e números de passageiro frequente. A informação de cartões de crédito e as palavras-passe não foram abrangidas pelos dados afetados, afirmou a ANA.

A ANA prevê começar a contactar os clientes afetados durante a primeira semana de novembro. O alerta imediato da companhia aérea aos passageiros diz respeito a e-mails, chamadas, sítios Web e anúncios nas redes sociais suspeitos, que se façam passar pelo Grupo ANA.

O incidente vai além de uma única companhia aérea. A Japan Airlines e a Japan Transocean Air já tinham anunciado que cerca de 92 000 clientes poderiam ter sido afetados por um acesso não autorizado envolvendo o mesmo fornecedor. Outras companhias aéreas japonesas ainda estavam a verificar a sua exposição, enquanto também foi noticiada a exposição de números de reserva de clientes da Korean Air e da Asiana Airlines.

Que informações foram envolvidas?

No maior grupo afetado pela ANA, cerca de 36 100 pessoas, cinco tipos de informação apresentavam indícios de acesso externo: nomes, números de reserva, datas de viagem, segmentos de voo e classes de cabine. Um segmento de voo é uma parte de uma viagem, como um voo de Tóquio para Sapporo. A classe de cabine identifica a categoria de viagem, como económica ou executiva.

O grupo mais pequeno, de cerca de 1 700 clientes, tinha esses mesmos dados envolvidos, além de endereços de e-mail, números de telefone, números de passaporte, nacionalidades, números de passageiro frequente, nomes de companhias aéreas, números de voo, números de bilhete e números de lugar.

Assim, os números de passaporte estavam entre as informações afetadas de cerca de 4,5% dos 37 800 clientes identificados pela ANA. Os restantes cerca de 95,5% pertenciam ao grupo cujas informações expostas se limitavam aos cinco dados básicos de reserva.

A ANA descreveu indícios de que os dados de reserva tinham sido consultados a partir do exterior do sistema. No seu comunicado, não confirmou se as informações também tinham sido copiadas para fora do sistema ou posteriormente utilizadas de forma indevida. A preocupação prática para os passageiros é que os dados afetados podem associar a identidade de uma pessoa a uma viagem específica.

Que reservas estão abrangidas pelo período afetado?

A ANA identificou como afetados alguns clientes que fizeram reservas entre 10 de agosto de 2023 e 23 de setembro de 2026. A divulgação diz respeito a um subconjunto das reservas feitas ao longo desse período de mais de três anos, e não a todos os passageiros que reservaram nessas datas.

O período foi também descrito como abrangendo voos operados pela ANA entre 10 de agosto de 2023 e 23 de setembro de 2026. A maioria das descrições pormenorizadas do anúncio identifica-o como o período em que as reservas foram feitas. Os clientes deverão consultar a notificação individual da ANA para saber se a sua reserva está incluída.

Os registos afetados contêm informações que os passageiros fornecem ou que são geradas quando organizam uma viagem. Um número de reserva identifica uma reserva, enquanto um número de bilhete identifica o documento de viagem emitido. Estes dados podem permanecer num sistema de serviço ao passageiro após a compra inicial, o que ajuda a explicar por que motivo a divulgação abrange reservas que remontam a 2023.

Como foram descobertos e divulgados os factos

A ANA divulgou publicamente o incidente pela primeira vez a 29 de outubro, quando ainda estava a investigar o número de clientes e as informações envolvidas. No dia seguinte, anunciou a estimativa de 37 800 clientes afetados e as duas categorias de dados expostos.

A sequência começou mais de um mês antes desses anúncios públicos:

• 24 de setembro de 2026: a Amadeus detetou um acesso não autorizado a dados de reservas de companhias aéreas. A ANA afirmou não ter recebido qualquer comunicação nessa altura.
• 16 de outubro: a ANA tomou conhecimento de incidentes que afetavam outras companhias aéreas que utilizavam a Amadeus e pediu ao fornecedor que verificasse os dados de reservas dos voos da ANA.
• 20 de outubro: a ANA recebeu um relatório da Amadeus e comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão e a outras entidades competentes.
• 29 de outubro: a ANA divulgou indícios de que alguns dados de reservas de clientes tinham sido acedidos a partir do exterior.
• 30 de outubro: a ANA identificou cerca de 37 800 clientes potencialmente afetados e detalhou as informações envolvidas.
• Primeira semana de novembro: a ANA prevê começar a contactar os clientes afetados por fases.

As datas mostram que a investigação da ANA começou antes de a contratada apresentar o seu relatório à companhia aérea. A Amadeus detetou o incidente a 24 de setembro e a ANA pediu uma verificação da sua própria exposição 22 dias depois. O fornecedor comunicou então o caso à ANA quatro dias após esse pedido.

A ANA e a Amadeus continuaram a verificar os dados dos clientes após 20 de outubro. A Comissão de Proteção de Informações Pessoais do Japão, que recebeu o relatório da ANA, é a autoridade responsável por supervisionar a proteção de informações pessoais.

Medidas adotadas pela Amadeus

A Amadeus fornece o sistema de serviço ao passageiro envolvido no incidente. As companhias aéreas utilizam estes sistemas para gerir funções como reservas e emissão de bilhetes, confiando os dados dos clientes a um fornecedor tecnológico especializado no âmbito das operações habituais de viagem.

A ANA afirmou ter confirmado junto da Amadeus que as credenciais associadas ao acesso não autorizado tinham sido desativadas e que a monitorização tinha sido reforçada. As credenciais são os identificadores digitais ou dados de acesso que permitem a uma pessoa ou a um sistema entrar num serviço. Desativá-las impede a continuação da utilização desses dados de acesso específicos.

A Amadeus afirmou também não haver indícios de danos causados por ransomware, de alteração ou eliminação de dados, nem de interrupção dos serviços prestados. Ransomware é um tipo de software malicioso utilizado para bloquear informações ou sistemas e exigir um pagamento. Neste caso, a resposta descrita pela ANA centra-se no acesso não autorizado aos registos dos clientes e na desativação das credenciais de acesso associadas.

As medidas visam o acesso e a monitorização no fornecedor. A tarefa paralela da ANA consiste em identificar as pessoas cujas informações foram envolvidas e informá-las sobre os dados afetados.

Outras companhias aéreas afetadas pelo incidente no mesmo fornecedor

A Japan Airlines e a Japan Transocean Air anunciaram a 28 de outubro que os dados de reservas de cerca de 92 000 clientes apresentavam indícios de acesso externo através da Amadeus. Cerca de 2 000 desses clientes tinham também números de passaporte e outros dados potencialmente expostos. As duas companhias aéreas receberam o relatório da Amadeus a 23 de outubro.

Os 92 000 clientes identificados pela JAL e pela JTA correspondem a cerca de 2,4 vezes o número da ANA, de 37 800. Os números de passaporte e outros dados adicionais estavam envolvidos em cerca de 2,2% do grupo da JAL e da JTA, em comparação com cerca de 4,5% do grupo da ANA.

A Air Do, a Solaseed Air e a StarFlyer, que utilizam sistemas da Amadeus através da ANA, afirmaram ter sido informadas pela ANA a 29 de outubro de que havia indícios de acesso externo a informações pessoais. Estavam a trabalhar com a ANA para determinar a dimensão do impacto. Também foram expostos números de reserva de clientes da Korean Air e da Asiana Airlines, alargando o alcance do incidente para além do Japão.

A JAL e a JTA afirmaram ter confirmado que não houve utilização indevida das informações afetadas nem impacto nas operações de voo. Entre as companhias aéreas, o fornecedor comum constitui um ponto de exposição partilhado, enquanto cada transportadora tem de identificar os seus próprios clientes afetados e tratar das notificações.

Por que razão a ANA alerta para tentativas de usurpação de identidade

A ANA instou os clientes a estarem atentos a mensagens e chamadas que aleguem falsamente representar o grupo da companhia aérea. Os dados de reserva podem tornar uma tentativa de burla mais convincente, uma vez que quem telefona ou envia um e-mail pode conhecer uma data de viagem, um destino ou um número de voo reais.

Uma mensagem fraudulenta poderia, por exemplo, alegar que uma reserva verdadeira exige um pagamento urgente ou que, para receber um reembolso, o passageiro tem de introduzir dados financeiros. O phishing consiste em fazer-se passar por uma organização de confiança para convencer alguém a divulgar informações ou a visitar um sítio Web enganador.

Os passageiros que recebam uma mensagem inesperada sobre uma reserva podem verificá-la através do sítio Web ou da aplicação da ANA que utilizam habitualmente, em vez de seguirem uma hiperligação ou ligarem para um número indicado na mensagem. Os pedidos de palavras-passe, códigos de verificação, dados de cartões ou imagens de passaportes exigem particular cautela quando chegam através de um contacto não solicitado.

As notificações individuais que a ANA prevê enviar darão aos clientes afetados uma base mais útil para agir do que o período geral das reservas, por si só. Para alguém do grupo de cerca de 1 700 pessoas, a preocupação inclui dados de contacto e de identificação, além do itinerário. Para o grupo maior, as informações expostas continuam a associar um nome a uma viagem.

Outras divulgações agravam as preocupações com a segurança dos dados no Japão

O Ministério dos Negócios Estrangeiros do Japão afirmou também, a 30 de outubro, que um acesso não autorizado poderá ter exposto cerca de 3 600 registos com informações pessoais, incluindo nomes e endereços de e-mail. Cerca de 900 registos pertenciam a pessoas exteriores ao ministério. O ambiente afetado era uma rede ligada a sistemas externos; o ministério afirmou ter confirmado que não houve acesso não autorizado a uma rede fechada separada, utilizada para tratar informações altamente confidenciais.

A Ryohin Keikaku, empresa que explora a Muji, divulgou que até 27,26 milhões de registos de clientes poderão ter sido expostos através de um acesso não autorizado à sua aplicação oficial. Entre os dados potencialmente afetados estavam endereços de e-mail, datas de nascimento e sexo, incluindo informações associadas a pessoas que tinham deixado de utilizar a aplicação. Os nomes e os dados de cartões de crédito não foram abrangidos pelos dados afetados.

A Muji afirmou ter confirmado que não houve utilização indevida, que contactaria individualmente os clientes afetados e que continuaria a operar normalmente a aplicação e a loja online. Alertou também os clientes para não clicarem em hiperligações incluídas em e-mails suspeitos. As divulgações da companhia aérea, do ministério e do retalhista dizem respeito a informações e serviços diferentes, mas em todos os casos as pessoas afetadas precisam de notificações precisas sobre os dados pessoais expostos.

Pontos-chave

• A ANA identificou cerca de 37 800 clientes cujos dados de reserva poderão ter sido expostos através de um acesso não autorizado à Amadeus.
• Cerca de 36 100 clientes tinham dados básicos de reserva envolvidos; cerca de 1 700 tinham também números de passaporte, dados de contacto e outras informações envolvidos.
• A ANA afirmou que os dados de cartões de crédito e as palavras-passe não foram abrangidos pelos dados afetados.
• A Amadeus detetou o incidente a 24 de setembro de 2026. A ANA recebeu o seu relatório a 20 de outubro e detalhou os clientes afetados a 30 de outubro.
• A Amadeus desativou as credenciais associadas e reforçou a monitorização. Não comunicou qualquer interrupção dos serviços.
• A ANA prevê começar a enviar notificações individuais na primeira semana de novembro e está a alertar para tentativas de usurpação de identidade.
• A JAL e a JTA identificaram separadamente cerca de 92 000 clientes afetados, enquanto outras companhias aéreas verificavam a sua exposição.