28 października 2026 roku Japan Airlines poinformowały, że około 92 000 klientów grupy JAL, obejmującej Japan Airlines i Japan Transocean Air, miało ujawnione dane rezerwacyjne.
Do naruszenia nie doszło u przewoźnika. Doszło do niego w Amadeus IT Group, firmie prowadzącej systemy rezerwacji, wystawiania biletów i odprawy dla JAL. Amadeus powiadomił linie 23 października 2026 roku, że znalazł ślady wskazujące na zewnętrzny dostęp do „części danych rezerwacyjnych klientów".
Najważniejsze są daty. Nieuprawniony dostęp trwał od 10 sierpnia 2023 do 23 września 2026 roku. To mniej więcej 37 miesięcy, ponad trzy lata, zanim ktokolwiek go wykrył.
Numery paszportów nie dotyczą wszystkich poszkodowanych. Około 90 000 osób miało ujawnione kody rezerwacyjne, nazwiska i szczegóły podróży. Mniejsza grupa, licząca około 2000 osób, straciła dodatkowo numery paszportów, obywatelstwo, adresy e-mail, numery telefonów, numery programu lojalnościowego, numery lotów, numery biletów i numery miejsc.
Obie grupy stoją więc przed istotnie innym ryzykiem i powinny podjąć inne kroki.
JAL nie są przy tym jedyne. Ta sama luka u Amadeusa dotknęła All Nippon Airways, Cathay Pacific, Korean Air i Asiana Airlines, a Malaysia Airlines ostrzegają klientów przed fałszywymi wiadomościami.
Co się wydarzyło
Kalendarium
Kiedy | Co |
|---|---|
10 sierpnia 2023 | Rozpoczyna się nieuprawniony dostęp do systemu Amadeus Passenger Service System |
1 października 2026 | Amadeus publicznie ujawnia podatność w środowisku prezentacji rezerwacji, informując, że grupy ransomware jej nie wykorzystały i że dane płatnicze nie zostały ujawnione |
23 września 2026 | Nieuprawniony dostęp ustaje |
23 października 2026 | Amadeus powiadamia Japan Airlines i Japan Transocean Air |
28 października 2026 | Grupa JAL publikuje swój komunikat |
Warto zwrócić uwagę na kolejność. Amadeus ujawnił podatność 1 października i stwierdził wtedy, że nie została wykorzystana przez grupy ransomware. Potwierdzenie ze strony JAL wskazuje, że luka została złośliwie wykorzystana, co istotnie zmienia pierwotne stanowisko.
Co zostało pobrane
Dla około 90 000 klientów:
Kod rezerwacyjny (PNR)
Imię i nazwisko
Data podróży
Trasa przelotu
Klasa podróży
Dla około 2000 klientów dodatkowo:
Adres e-mail i numer telefonu
Numer paszportu i obywatelstwo
Numer programu lojalnościowego
Numer lotu, numer biletu i numer miejsca
Nie pobrano: numerów kart kredytowych ani haseł. JAL informują, że na razie nie ma dowodów na nadużycie danych, a operacje lotnicze nigdy nie zostały zakłócone.
Skala w całej branży
Japan Airlines to jeden z kilku dotkniętych przewoźników. Podawane liczby:
Linia lotnicza | Liczba rekordów |
|---|---|
Japan Airlines | 92 000 |
Cathay Pacific | 53 000 |
All Nippon Airways | 37 800 |
Korean Air | Potwierdzone, skala nieustalona |
Asiana Airlines | Potwierdzone, skala nieustalona |
Ponad dziesięć dni po otrzymaniu powiadomienia Korean Air i Asiana wciąż nie ustaliły swoich liczb. To wiele mówi o tym, jak trudno przewoźnikowi określić zakres naruszenia, które wydarzyło się w cudzym systemie.
Amadeus poinformował, że dane płatnicze były przechowywane oddzielnie, oraz że wymienił poświadczenia i rozszerzył monitoring.
Dlaczego kod PNR znaczy więcej, niż się wydaje
Kod rezerwacyjny wygląda niegroźnie. Nie jest, i to jest praktyczne sedno całego incydentu.
Numer PNR w połączeniu z nazwiskiem, trasą i datą podróży to wszystko, czego potrzeba, by stworzyć wiadomość nieodróżnialną od prawdziwej korespondencji linii lotniczej. Przewoźnicy już ostrzegają podróżnych przed fałszywymi wiadomościami o zwrotach i zmianach rezerwacji, powołującymi się na prawdziwe szczegóły lotu.
Warto wyobrazić sobie, jak to wygląda z perspektywy pasażera. Przychodzi e-mail odwołujący się do Twojej rzeczywistej rezerwacji, Twojego lotu i Twojego miejsca, oferujący zwrot pieniędzy albo informujący o zmianie rozkładu. Każdy odruch, którego ludzi uczono, czyli sprawdzanie, czy nadawca zna prawdziwe szczegóły, tutaj zawodzi.
Dla 2000 osób, których numery paszportów i obywatelstwo zostały pobrane, ryzyko sięga oszustw z wykorzystaniem dokumentów tożsamości, a te nie wygasają wraz z rezerwacją.
Dlaczego to ma znaczenie
Nagłówkiem jest trzydzieści siedem miesięcy, a nie dziewięćdziesiąt dwa tysiące. Porażka w wykrywaniu waży więcej niż liczba rekordów. Intruz miał dostęp do globalnej platformy rezerwacyjnej przez ponad trzy lata. Jeden z komentarzy eksperckich trafnie ujmuje kwestię nadzoru: „Rzetelny nadzór i monitoring dostawców w normalnych czasach" powinien być elementem oceny zdolności firmy do ochrony danych osobowych.
Przewoźnik zrobił wszystko dobrze i i tak doszło do naruszenia. Własna sieć JAL pozostała nietknięta. Jakość programu bezpieczeństwa linii nie była tu zmienną. To cecha definiująca ryzyko stron trzecich: konsekwencje decyzji podjętej wewnątrz dostawcy, którego nie da się audytować na bieżąco, ponosi organizacja utrzymująca relację z klientem.
Scentralizowane platformy rezerwacyjne to skoncentrowane cele. Garstka globalnych systemów dystrybucji obsługuje rezerwacje dla większości światowych linii lotniczych. Jedna luka w jednym z nich sięga jednocześnie pasażerów na wielu kontynentach i u wielu przewoźników, co właśnie tutaj się stało.
Dane podróżne są paliwem dla socjotechniki, a nie materiałem do kradzieży. Nie ma tu numerów kart do spieniężenia. Jest za to wyjątkowo dobra lista do typowania celów: kto leci, dokąd, kiedy i na którym miejscu. Ma dłuższy okres przydatności niż skradziona karta i trudniej się przed nią bronić.
Wstępna ocena dostawcy może być błędna. Amadeus stwierdził 1 października, że podatność nie została wykorzystana przez grupy ransomware. Trzy tygodnie później klienci otrzymywali powiadomienia o trzech latach nieuprawnionego dostępu. Wstępne oświadczenia dostawców składane w trakcie trwającego postępowania należy traktować jako tymczasowe.
Określenie zakresu naruszenia u strony trzeciej trwa. Dwie linie lotnicze nie potrafiły podać liczby dotkniętych klientów ponad dziesięć dni po powiadomieniu. Jeśli Twój plan reagowania zakłada szybkie ustalenie skutków, zakłada też, że kontrolujesz systemy, o które chodzi.
Kogo to dotyczy
Około 90 000 klientów grupy JAL, których kod rezerwacyjny, nazwisko i trasa zostały ujawnione.
Około 2000 klientów grupy JAL, którzy dodatkowo stracili numery paszportów, obywatelstwo i dane kontaktowe. Ta grupa stoi przed istotnie innym ryzykiem.
Klientów All Nippon Airways, Cathay Pacific, Korean Air i Asiana Airlines, przy czym w dwóch przypadkach skala pozostaje nieustalona.
Każdego, kto latał z dotkniętym przewoźnikiem między sierpniem 2023 a wrześniem 2026 roku, czyli w bardzo szerokim oknie.
Całej branży turystycznej, przed którą stają pytania o koncentrację ryzyka w platformach rezerwacyjnych.
Co zrobić
Jeśli latałeś z dotkniętą linią w tym okresie
Traktuj każdą wiadomość powołującą się na Twoje prawdziwe dane rezerwacji jako podejrzaną. Poprawne szczegóły lotu nie są już dowodem, że wiadomość jest autentyczna. To najważniejsza zmiana nawyku.
Nie klikaj odnośników w wiadomościach o zwrotach, zmianach rezerwacji czy odszkodowaniach. Wejdź przez aplikację przewoźnika albo wpisz adres ręcznie.
Zachowaj szczególną ostrożność przy kontakcie telefonicznym. Dzwoniący, który zna Twoją trasę, datę i numer miejsca, brzmi wiarygodnie. Rozłącz się i oddzwoń na numer znaleziony samodzielnie.
Jeśli należysz do grupy 2000 osób, potraktuj ujawnienie paszportu poważnie. Numer paszportu w połączeniu z obywatelstwem i pełnym nazwiskiem umożliwia oszustwa z wykorzystaniem dokumentów tożsamości, a paszportu, w przeciwieństwie do karty, nie wymienia się szybko ani tanio.
Obserwuj konta programu lojalnościowego pod kątem nieautoryzowanych wykorzystań mil i zmień hasło, jeśli używasz go gdzie indziej.
Zgłaszaj podejrzane kontakty przewoźnikowi, bo pomaga mu to zmapować kampanię.
Dla organizacji korzystających z kluczowych dostawców
Zapytaj, jak długo włamanie mogłoby pozostać niewykryte w środowisku Twojego dostawcy i jaki monitoring by je wychwycił. Trzydzieści siedem miesięcy to punkt odniesienia wyznaczony przez ten incydent.
Zapisz w umowach terminy powiadamiania i zdefiniuj, co je uruchamia. JAL dowiedziały się 23 października o dostępie, który zakończył się 23 września.
Wiedz, który dostawca przechowuje które pola danych. JAL potrafiły dokładnie opisać, co ujawniono w każdej grupie, co świadczy o dobrej dokumentacji. Wiele organizacji nie potrafiłoby tego samego.
Zaplanuj opóźnienie w ustalaniu zakresu. Zbuduj scenariusz reagowania działający wtedy, gdy nie widzisz dotkniętych systemów i musisz czekać na fakty od strony trzeciej.
Traktuj wstępne oceny dostawcy jako tymczasowe i wyznacz moment weryfikacji zamiast zamykać sprawę, gdy pierwsze oświadczenie brzmi uspokajająco.
Przygotuj komunikaty dla klientów na wypadek naruszenia u dostawcy. To Ty będziesz odpowiadać, niezależnie od tego, czyj system zawiódł.
Podsumowanie i kluczowa lekcja
Japan Airlines nie zostały zhakowane. Ktoś dostał się do systemu przechowującego ich rezerwacje i pozostawał tam od sierpnia 2023 do września 2026 roku, a przewoźnik dowiedział się o tym miesiąc po zakończeniu dostępu, od dostawcy. Nie istnieje działanie, które zespół bezpieczeństwa JAL mógłby podjąć, bo po stronie JAL nie było nic, przeciwko czemu mógłby je skierować.
Lekcja: oddając system na zewnątrz, oddajesz zdolność wykrycia w nim naruszenia, ale zachowujesz obowiązek odpowiadania za nie. Klienci otrzymujący wiadomości phishingowe z własnym numerem miejsca to klienci JAL. Powiadomienie przyszło od JAL. Koszt wizerunkowy ponosi JAL. Przy przewoźniku zostało wszystko poza możliwością zapobieżenia.
Druga lekcja dotyczy charakteru tych danych. Nie pobrano numerów kart, co skusi wielu do zakwalifikowania sprawy jako incydentu drobnego. To byłby błąd. Pobrano precyzyjnie zweryfikowaną listę tego, kto gdzie i kiedy się znajdował oraz na którym miejscu siedział, czyli surowiec do najbardziej przekonujących oszustw, jakie istnieją. To właśnie 90 000 osób, które „tylko" straciły kod rezerwacyjny, najpewniej dostanie w tym miesiącu wiadomość, której nie będą miały jak odróżnić od prawdziwej.
Dwa pytania warte zadania: jak długo intruz mógłby przebywać w systemach Twojego najważniejszego dostawcy, zanim ktokolwiek by to zauważył, i kto by Cię o tym poinformował?
