Uma violação de dados no fornecedor de software de viagens Amadeus afetou 46.000 registros de reserva da Singapore Airlines (SIA), segundo reportagem do The Straits Times. As informações expostas envolvem dados de clientes, mas informações de pagamento não faziam parte do que foi acessado. A violação de dados da Amadeus SIA é um lembrete útil de que seus dados pessoais podem ser comprometidos em uma empresa com a qual você nunca se cadastrou.

A reportagem de origem é breve, então este post se atém ao que foi confirmado e se concentra no que os viajantes podem razoavelmente fazer a respeito.

O que foi exposto na violação da Amadeus

De acordo com o relatório, 46.000 registros de reserva da SIA foram acessados ilegalmente em um incidente que afetou a Amadeus, uma fornecedora de software que dá suporte a sistemas de reserva de companhias aéreas. Os registros continham dados de clientes. Informações de pagamento não foram expostas.

O artigo não especifica aqui quais campos exatos foram incluídos, como os atacantes entraram ou quem foi o responsável, então não vamos adivinhar. Se você fez uma reserva com a SIA, a suposição mais segura é que o tipo de informação tipicamente vinculado a uma reserva, como seu nome e detalhes de viagem, pode estar envolvido até que a companhia aérea diga o contrário. Verifique qualquer notificação direta da SIA ou da Amadeus, pois elas descreverão os dados específicos afetados.

Por que sistemas de reserva de terceiros são um elo fraco

A maioria dos viajantes pensa em uma reserva como uma relação entre si mesmos e uma companhia aérea. Na prática, os dados de reserva frequentemente passam por provedores de tecnologia que ficam nos bastidores e são armazenados por eles. Você nunca escolheu esses fornecedores, nunca leu suas políticas de privacidade e geralmente não pode optar por não usá-los.

Isso cria um problema estrutural. Uma companhia aérea pode investir pesadamente em sua própria segurança, mas uma fragilidade em um fornecedor ainda pode expor seus clientes. O mesmo padrão aparece em diversos setores. Nossa cobertura das divulgações do Goldman Sachs e do Man Group na violação de dados da EY mostrou como um incidente em um fornecedor pode se ampliar e atingir muitas organizações clientes. Da mesma forma, a violação de dados da SafePal que expôs quase 40.000 clientes é outro exemplo de dados de clientes se tornando vulneráveis por meio dos sistemas que cercam um produto, e não apenas pelo produto em si.

Para os viajantes, a conclusão prática é que o número de organizações que detêm seus dados é maior que o número de marcas com as quais você lida.

Por que uma violação sem dados de cartão ainda importa

É tentador relaxar quando você ouve que nenhum dado de pagamento foi levado. Isso é uma boa notícia, pois reduz o risco de fraude direta com cartão. Mas registros de reserva ainda são valiosos para criminosos por um motivo diferente: eles fornecem contexto.

Uma mensagem que menciona seu nome real e uma viagem futura real é muito mais convincente do que um golpe genérico. Atacantes podem usar esse tipo de detalhe para elaborar e-mails ou mensagens de phishing que parecem vir de uma companhia aérea, de um agente de viagens ou de um serviço de pagamento, instando você a "confirmar" uma reserva, solicitar um reembolso ou atualizar seus dados. Informações pessoais também podem ser combinadas com dados de outros vazamentos para construir um perfil mais completo, o que torna a tentativa de fraude de identidade mais fácil.

Este é um tema recorrente nos relatos de violações. Mesmo quando os campos mais obviamente sensíveis são poupados, os detalhes pessoais vazados tendem a circular e ser reutilizados. Nosso relatório sobre a alegação do Qilin contra o Hawaii Dental Group é de um setor diferente, mas a lição é semelhante: uma vez que os registros saem do controle de uma organização, o risco subsequente dura muito além da manchete inicial.

Medidas que passageiros afetados podem tomar agora

Você não precisa entrar em pânico, mas algumas medidas ponderadas valem a pena:

  • Fique atento a avisos oficiais. Se a SIA ou a Amadeus entrarem em contato, leia com atenção. Acesse o site da companhia aérea digitando o endereço você mesmo, em vez de clicar em links em e-mails.
  • Trate mensagens de viagem inesperadas com desconfiança. Desconfie de e-mails ou mensagens sobre voos alterados, reembolsos, upgrades de assento ou confirmações de reserva que você não solicitou, mesmo que incluam detalhes precisos.
  • Proteja sua conta na companhia aérea. Use uma senha forte e exclusiva e ative a autenticação de dois fatores, se estiver disponível. Se você reutilizou a senha em outros lugares, altere-a lá também.
  • Verifique sua conta de fidelidade. Revise atividades recentes e detalhes de contato vinculados em busca de qualquer coisa incomum.
  • Monitore suas contas financeiras. Embora dados de pagamento não tenham sido supostamente envolvidos, verificações regulares são um hábito sensato após qualquer violação.
  • Limite o que você compartilha. Forneça apenas os detalhes que uma reserva exige e tenha cautela com informações extras solicitadas por sites de terceiros.

O que isso significa para você

Se você voou ou fez uma reserva com a Singapore Airlines, suas informações podem estar em um sistema administrado por uma empresa com a qual você nunca lidou diretamente. A ausência relatada de dados de pagamento é tranquilizadora, mas o verdadeiro risco de curto prazo é o phishing direcionado que usa detalhes genuínos de reserva para parecer legítimo. Diminuir o ritmo antes de clicar e verificar qualquer solicitação por canais oficiais é sua defesa mais forte.

De modo mais amplo, você não pode auditar cada fornecedor por trás de cada serviço que usa, mas pode reduzir os danos quando um falha. Senhas exclusivas, autenticação de dois fatores e um ceticismo saudável em relação a mensagens não solicitadas ajudam bastante.

Principais conclusões

A violação de dados da Amadeus SIA afetou 46.000 registros de reserva e, de acordo com o relatório, não incluiu informações de pagamento. Revise a segurança da sua conta na companhia aérea hoje, fique alerta a phishing que faça referência aos seus planos de viagem e verifique qualquer coisa inesperada por canais oficiais. Para saber mais sobre como a exposição por terceiros se desenrola, leia nossa cobertura da violação de dados da EY e suas vítimas nomeadas e da violação da SafePal.