ANA afirma que 37.800 clientes podem ter sido afetados por vazamento na Amadeus, incluindo 1.700 números de passaporte

Dados de reservas expostos por meio de uma fornecedora de tecnologia aérea

A All Nippon Airways informou em 30 de outubro de 2026 que informações de reservas de cerca de 37.800 clientes podem ter sido expostas após um acesso não autorizado a sistemas operados por sua contratada espanhola de tecnologia, a Amadeus IT Group. Cerca de 1.700 clientes também tiveram números de passaporte e outros dados pessoais entre as informações que apresentaram indícios de acesso externo ao sistema.

A ANA informou que a Amadeus detectou o acesso não autorizado em 24 de setembro, mas a companhia aérea recebeu um relatório da contratada em 20 de outubro, 26 dias depois. A ANA havia pedido à Amadeus que investigasse a exposição de seus dados após saber, em 16 de outubro, que outras companhias aéreas que usam a fornecedora tinham sido afetadas.

A companhia aérea identificou dois grupos de clientes afetados. Cerca de 36.100 tiveram informações básicas de reserva expostas, incluindo nomes e dados de viagem. Cerca de 1.700 tiveram um conjunto mais amplo de informações envolvido, incluindo dados de contato, números de passaporte e números de programas de fidelidade. Segundo a ANA, informações de cartão de crédito e senhas não estavam entre os dados afetados.

A ANA planeja começar a contatar os clientes afetados durante a primeira semana de novembro. Seu alerta imediato aos passageiros diz respeito a e-mails, ligações, sites e anúncios em redes sociais suspeitos que se passam por representantes do Grupo ANA.

O incidente vai além de uma única companhia aérea. A Japan Airlines e a Japan Transocean Air já haviam anunciado que cerca de 92.000 clientes poderiam ter sido afetados por um acesso não autorizado envolvendo a mesma fornecedora. Outras companhias aéreas japonesas ainda verificavam se foram afetadas, enquanto também havia relatos de exposição de números de reserva de clientes da Korean Air e da Asiana Airlines.

Quais informações estavam envolvidas?

O maior grupo afetado pela ANA, com cerca de 36.100 pessoas, teve cinco tipos de informação com indícios de acesso externo: nomes, números de reserva, datas de viagem, trechos de voo e classes de cabine. Um trecho de voo é uma parte de uma viagem, como um voo de Tóquio a Sapporo. A classe de cabine identifica a categoria da viagem, como econômica ou executiva.

O grupo menor, de cerca de 1.700 clientes, teve esses mesmos dados envolvidos, além de endereços de e-mail, números de telefone, números de passaporte, nacionalidades, números de programas de fidelidade, nomes de companhias aéreas, números de voo, números de bilhete e números de assento.

Portanto, os números de passaporte estavam entre as informações afetadas de cerca de 4,5% dos 37.800 clientes identificados pela ANA. Os outros aproximadamente 95,5% faziam parte do grupo cujas informações expostas se limitaram aos cinco dados básicos de reserva.

A ANA relatou indícios de que informações de reservas tinham sido visualizadas de fora do sistema. O comunicado não confirmou se as informações também foram copiadas para fora do sistema ou usadas indevidamente depois. A preocupação prática para os passageiros é que os dados afetados podem associar a identidade de uma pessoa a uma viagem específica.

Quais reservas estão dentro do período afetado?

A ANA identificou como afetados alguns clientes que fizeram reservas entre 10 de agosto de 2023 e 23 de setembro de 2026. A divulgação diz respeito a um subconjunto de reservas feitas ao longo desse período de mais de três anos, e não a todos os passageiros que reservaram viagens nessas datas.

Também foi informado que o período abrange voos operados pela ANA de 10 de agosto de 2023 a 23 de setembro de 2026. As descrições mais detalhadas do comunicado identificam esse intervalo como o período em que as reservas foram feitas. Os clientes devem consultar a notificação individual da ANA para saber se sua própria reserva está incluída.

Os registros afetados contêm informações que os passageiros fornecem ou geram ao organizar uma viagem. O número de reserva identifica uma reserva, enquanto o número do bilhete identifica o documento de viagem emitido. Esses dados podem permanecer em um sistema de atendimento ao passageiro depois da compra inicial, o que ajuda a explicar por que a divulgação abrange reservas que remontam a 2023.

Como a descoberta e a divulgação ocorreram

A ANA divulgou publicamente o incidente pela primeira vez em 29 de outubro, enquanto ainda investigava o número de clientes e as informações envolvidas. No dia seguinte, anunciou a estimativa de 37.800 clientes afetados e as duas categorias de dados expostos.

A sequência começou mais de um mês antes desses anúncios públicos:

• 24 de setembro de 2026: a Amadeus detectou acesso não autorizado a informações de reservas aéreas. A ANA disse que não recebeu um relatório naquele momento.
• 16 de outubro: a ANA soube de incidentes que afetaram outras companhias aéreas que usam a Amadeus e pediu à fornecedora que verificasse as informações de reservas de voos da ANA.
• 20 de outubro: a ANA recebeu um relatório da Amadeus e comunicou o caso à Comissão de Proteção de Informações Pessoais do Japão e a outros órgãos pertinentes.
• 29 de outubro: a ANA divulgou indícios de que algumas informações de reservas de clientes tinham sido acessadas externamente.
• 30 de outubro: a ANA identificou cerca de 37.800 clientes potencialmente afetados e detalhou as informações envolvidas.
• Primeira semana de novembro: a ANA planeja começar a contatar os clientes afetados em etapas.

As datas mostram que a investigação da ANA começou antes de a contratada enviar seu relatório à companhia aérea. A Amadeus detectou o incidente em 24 de setembro, e a ANA solicitou uma verificação de sua própria exposição 22 dias depois. A fornecedora então comunicou o caso à ANA quatro dias após esse pedido.

A ANA e a Amadeus continuaram verificando as informações dos clientes depois de 20 de outubro. A Comissão de Proteção de Informações Pessoais do Japão, que recebeu o relatório da ANA, é a autoridade responsável por supervisionar a proteção de informações pessoais.

O que a Amadeus fez

A Amadeus fornece o sistema de atendimento ao passageiro envolvido no incidente. As companhias aéreas usam sistemas desse tipo para gerenciar funções como reservas e emissão de bilhetes, confiando informações dos clientes a uma fornecedora especializada em tecnologia como parte das operações normais de viagem.

A ANA informou que confirmou com a Amadeus que as credenciais relacionadas ao acesso não autorizado foram desativadas e que o monitoramento foi reforçado. Credenciais são identificadores digitais ou dados de acesso que permitem que uma pessoa ou sistema entre em um serviço. Desativá-las impede que esses dados de acesso específicos continuem sendo usados.

A Amadeus também afirmou que não havia indícios de danos causados por ransomware, alteração ou exclusão de dados, nem interrupção dos serviços que oferece. Ransomware é um software malicioso usado para bloquear informações ou sistemas e exigir pagamento. Neste caso, a resposta descrita pela ANA se concentra no acesso não autorizado aos registros de clientes e na remoção das credenciais de acesso associadas.

As medidas tratam do acesso e do monitoramento na fornecedora. A tarefa paralela da ANA é identificar as pessoas cujas informações foram envolvidas e informá-las sobre quais dados foram afetados.

Outras companhias aéreas enfrentam incidente com a mesma fornecedora

A Japan Airlines e a Japan Transocean Air anunciaram em 28 de outubro que informações de reservas de cerca de 92.000 clientes apresentavam indícios de acesso externo por meio da Amadeus. Cerca de 2.000 desses clientes também poderiam ter tido números de passaporte e outros dados expostos. As duas companhias aéreas receberam o relatório da Amadeus em 23 de outubro.

Os 92.000 clientes identificados pela JAL e pela JTA correspondem a cerca de 2,4 vezes o número de 37.800 da ANA. Números de passaporte e outros dados adicionais estavam envolvidos para aproximadamente 2,2% do grupo da JAL e da JTA, em comparação com cerca de 4,5% do grupo da ANA.

A Air Do, a Solaseed Air e a StarFlyer, que usam sistemas da Amadeus por meio da ANA, disseram que foram informadas pela ANA em 29 de outubro de que informações pessoais apresentavam indícios de acesso externo. Elas trabalhavam com a ANA para determinar a dimensão do impacto. Números de reserva de clientes da Korean Air e da Asiana Airlines também foram expostos, ampliando o alcance do incidente para além do Japão.

A JAL e a JTA disseram que confirmaram que não houve uso indevido das informações afetadas nem impacto nas operações de voo. Entre as companhias aéreas, a fornecedora compartilhada cria um ponto comum de exposição, enquanto cada empresa precisa identificar seus próprios clientes afetados e cuidar das notificações.

Por que a ANA alerta para tentativas de fraude por falsos representantes

A ANA pediu aos clientes que fiquem atentos a mensagens e ligações que afirmem falsamente representar o grupo de companhias aéreas. As informações de reserva podem tornar uma tentativa de fraude mais convincente, pois quem liga ou envia o e-mail pode conhecer uma data de viagem, um destino ou um número de voo verdadeiros.

Uma mensagem fraudulenta poderia, por exemplo, alegar que uma reserva legítima exige um pagamento urgente ou que, para receber um reembolso, o passageiro precisa informar dados financeiros. Phishing é a prática de se passar por uma organização confiável para convencer alguém a revelar informações ou acessar um site enganoso.

Passageiros que receberem uma mensagem inesperada sobre uma reserva podem verificá-la pelo site ou aplicativo da ANA que costumam usar, em vez de seguir um link ou ligar para um número informado na mensagem. Pedidos de senhas, códigos de verificação, informações de cartão ou imagens de passaporte exigem atenção especial quando chegam por meio de um contato não solicitado.

As notificações individuais que a ANA planeja enviar darão aos clientes afetados uma base mais útil para agir do que apenas o amplo período de reservas. Para alguém do grupo de cerca de 1.700 pessoas, a preocupação inclui dados de contato e de identidade, além do itinerário. Para o grupo maior, as informações expostas ainda associam um nome a uma viagem.

Outras divulgações ampliam as preocupações com a segurança de dados no Japão

O Ministério das Relações Exteriores do Japão também informou em 30 de outubro que um acesso não autorizado pode ter exposto cerca de 3.600 registros com informações pessoais, incluindo nomes e endereços de e-mail. Cerca de 900 registros pertenciam a pessoas de fora do ministério. O ambiente afetado era uma rede conectada a sistemas externos; o ministério afirmou que não havia confirmado acesso não autorizado a uma rede separada e isolada que lida com informações altamente confidenciais.

A Ryohin Keikaku, operadora da Muji, divulgou que até 27,26 milhões de registros de clientes podem ter sido expostos por meio de acesso não autorizado ao aplicativo oficial da empresa. Os dados potencialmente afetados incluíam endereços de e-mail, datas de nascimento e gênero, inclusive informações associadas a pessoas que haviam deixado de usar o aplicativo. Nomes e informações de cartão de crédito não estavam entre os dados afetados.

A Muji informou que não havia confirmado nenhum uso indevido, que contataria os clientes afetados individualmente e que continuava operando normalmente seu aplicativo e sua loja on-line. A empresa também alertou os clientes para que não clicassem em links de e-mails suspeitos. As divulgações envolvendo a companhia aérea, o ministério e o varejo dizem respeito a informações e serviços diferentes, mas, em todos os casos, as pessoas afetadas precisam receber notificações precisas sobre quais dados pessoais foram expostos.

Principais pontos

• A ANA identificou cerca de 37.800 clientes cujas informações de reserva podem ter sido expostas por meio de acesso não autorizado à Amadeus.
• Cerca de 36.100 clientes tiveram dados básicos de reserva envolvidos; cerca de 1.700 também tiveram números de passaporte, dados de contato e outras informações envolvidos.
• Segundo a ANA, informações de cartão de crédito e senhas não estavam entre os dados afetados.
• A Amadeus detectou o incidente em 24 de setembro de 2026. A ANA recebeu o relatório em 20 de outubro e detalhou os dados dos clientes afetados em 30 de outubro.
• A Amadeus desativou as credenciais associadas e reforçou o monitoramento. A empresa informou que não houve interrupção dos serviços.
• A ANA planeja começar a enviar notificações individuais na primeira semana de novembro e está alertando sobre tentativas de fraude por falsos representantes.
• A JAL e a JTA identificaram separadamente cerca de 92.000 clientes afetados, enquanto outras companhias aéreas verificavam se foram atingidas.