La aerolínea Cathay Pacific ha comunicado un incidente de seguridad relacionado con su proveedor tecnológico Amadeus IT Group, que ha permitido a una persona no autorizada acceder a información correspondiente a aproximadamente 53.000 reservas de vuelos.
Según el comunicado oficial publicado por la compañía el 30 de octubre, el acceso se produjo mediante credenciales de inicio de sesión asignadas a una cuenta de sistema de Amadeus. La actividad no autorizada abarcó un periodo comprendido entre agosto de 2023 y septiembre de 2026.
En la mayoría de los casos, los datos consultados incluían el localizador de la reserva, el nombre del pasajero y la información del vuelo. En un grupo más reducido de registros también podrían haberse visto comprometidos datos de contacto, información de documentos de viaje y números de programas de fidelización.
Cathay Pacific asegura que no existen evidencias de que se haya accedido a información financiera o de pago y que sus propios sistemas y operaciones no se han visto afectados.
El incidente adquiere una dimensión mayor porque no afecta exclusivamente a la aerolínea de Hong Kong. Otras compañías asiáticas, entre ellas Japan Airlines, All Nippon Airways (ANA), Korean Air y Asiana Airlines, también han comunicado incidentes relacionados con el acceso no autorizado a información almacenada en sistemas de Amadeus.
El caso vuelve a situar la ciberseguridad de los proveedores tecnológicos en el centro del debate sobre la protección de los datos de los viajeros.
Amadeus notificó el incidente a Cathay Pacific el 28 de octubre
Cathay Pacific recibió la primera notificación de Amadeus el 28 de octubre de 2026 y obtuvo información adicional al día siguiente.
Según los datos facilitados por el proveedor tecnológico, una persona no autorizada utilizó credenciales asociadas a una cuenta de sistema para acceder a información de reservas aéreas.
La compañía sitúa el periodo de acceso no autorizado entre agosto de 2023 y septiembre de 2026, una ventana temporal de más de tres años.
Este dato resulta especialmente relevante porque plantea interrogantes sobre la detección de accesos indebidos en sistemas que gestionan información sensible de pasajeros.
No obstante, el periodo identificado no demuestra por sí solo que el atacante mantuviera un acceso continuo durante más de tres años. La información publicada no permite establecer la frecuencia de las consultas ni determinar cuándo se produjo cada acceso.
Amadeus ha explicado, según recoge Reuters, que tuvo conocimiento de una vulnerabilidad relacionada con un entorno de visualización de reservas de viajes.
La compañía también señaló que las investigaciones continuaban y que no existían indicios de que el incidente hubiera sido utilizado para desplegar ataques de ransomware.
El proveedor no detalló inicialmente el número total de aerolíneas y clientes cuyos datos podrían haberse visto afectados.
Qué información de los pasajeros ha quedado expuesta
El comunicado de Cathay Pacific permite identificar diferentes categorías de datos potencialmente comprometidos.
En la mayoría de las aproximadamente 53.000 reservas afectadas, la información consultada incluía el localizador de reserva, el nombre del pasajero y los detalles del vuelo.
En un número menor de casos, también podrían haberse consultado direcciones de correo electrónico, números de teléfono, datos de documentos de viaje y números de viajero frecuente.
La aerolínea no ha especificado cuántas reservas pertenecen a esta segunda categoría ni qué combinación de datos se encontraba disponible en cada caso.
Tampoco ha confirmado que se hayan utilizado posteriormente los datos obtenidos.
Según la información facilitada por Amadeus, hasta el momento no se han encontrado evidencias de un uso indebido de los registros afectados.
Es importante diferenciar estos conceptos. La confirmación de un acceso no autorizado significa que una persona ajena al sistema pudo consultar información que no debía estar a su disposición. Sin embargo, no implica necesariamente que todos los datos se hayan descargado, comercializado o utilizado para cometer fraudes.
La compañía también señala que no existen evidencias de acceso a datos financieros o de pago.
Esta circunstancia reduce algunos riesgos asociados al incidente, aunque no elimina las posibles consecuencias de la exposición de información personal.
Los localizadores de reserva pueden facilitar estafas dirigidas
Uno de los principales riesgos derivados de este tipo de incidentes es la posibilidad de utilizar información auténtica de un viaje para elaborar comunicaciones fraudulentas.
El localizador de reserva, combinado con el nombre del pasajero y los detalles del vuelo, puede aportar credibilidad a un mensaje que aparentemente procede de una aerolínea o de una agencia de viajes.
Un delincuente que conozca esos datos podría intentar hacerse pasar por un proveedor turístico y solicitar al viajero que actualice su información, confirme una reserva o realice un pago.
Este tipo de ataque, conocido como phishing, resulta especialmente difícil de identificar cuando incorpora detalles reales de una contratación.
Por ejemplo, una comunicación que mencione correctamente la fecha del vuelo, el destino y el nombre del pasajero puede parecer más fiable que un mensaje genérico.
Si además se dispone de una dirección de correo electrónico o un número de teléfono, los intentos de suplantación pueden dirigirse de manera más precisa a las personas afectadas.
No existe evidencia publicada de que los datos del incidente de Amadeus se hayan utilizado para cometer estas estafas. Se trata de un riesgo potencial asociado a la naturaleza de la información expuesta, no de una consecuencia confirmada de esta brecha.
Para los viajeros, la principal recomendación es extremar las precauciones ante comunicaciones inesperadas que soliciten pagos, contraseñas o información personal, incluso cuando incluyan detalles auténticos de una reserva.
También conviene verificar cualquier solicitud a través de la web o aplicación oficial de la aerolínea, en lugar de utilizar enlaces recibidos por correo electrónico o mensajería.
Japan Airlines y ANA también figuran entre las compañías afectadas
El incidente de Cathay Pacific forma parte de un problema que ha alcanzado a diferentes aerolíneas internacionales.
Japan Airlines comunicó que aproximadamente 92.000 clientes de Japan Airlines y Japan Transocean Air se habían visto afectados por un acceso no autorizado a información almacenada en sistemas de Amadeus.
Por su parte, ANA informó de la exposición de datos correspondientes a unos 37.800 pasajeros.
Otras compañías, como Korean Air y Asiana Airlines, también reconocieron haber recibido notificaciones relacionadas con el incidente, aunque inicialmente no detallaron el número de clientes afectados.
La aerolínea surcoreana Jin Air comunicó asimismo que la información de 1.454 pasajeros había quedado comprometida.
A estas compañías se han sumado otras aerolíneas que han reconocido estar analizando el posible impacto del acceso no autorizado, entre ellas Qantas.
La existencia de varios afectados muestra cómo un incidente en un proveedor tecnológico compartido puede extenderse a diferentes empresas del sector.
Sin embargo, las cifras comunicadas por cada aerolínea no deben interpretarse automáticamente como un recuento global definitivo.
No se ha publicado un balance consolidado y verificado del número total de pasajeros o reservas afectados en todos los clientes de Amadeus.
Además, las compañías han utilizado diferentes unidades de medida en sus comunicaciones, como reservas, registros o pasajeros, por lo que sumar las cifras sin matices podría producir una estimación incorrecta.
Amadeus ha restablecido credenciales y reforzado la vigilancia
Tras identificar el incidente, Amadeus adoptó medidas para contener el acceso no autorizado.
Según el comunicado de Cathay Pacific, estas actuaciones incluyeron el restablecimiento de contraseñas y la implantación de capacidades reforzadas de monitorización y detección en sus sistemas.
El objetivo de estas medidas es impedir nuevos accesos mediante las credenciales comprometidas y mejorar la identificación de comportamientos anómalos.
La compañía también continúa investigando las circunstancias del incidente y su alcance.
Por el momento, la información pública no permite establecer cómo se obtuvieron inicialmente las credenciales utilizadas por el atacante.
Tampoco se ha detallado qué controles de acceso estaban implantados, qué permisos tenía la cuenta comprometida ni por qué fue posible consultar información correspondiente a un periodo tan amplio.
Estas cuestiones son relevantes para comprender el origen del problema y evaluar la eficacia de las medidas correctoras.
Desde el punto de vista de la ciberseguridad, las cuentas técnicas y de servicio representan un elemento especialmente sensible.
A diferencia de las cuentas personales utilizadas por empleados, algunas de estas credenciales pueden estar vinculadas a procesos automatizados o integraciones entre aplicaciones.
Por eso, su gestión requiere controles específicos sobre permisos, autenticación, rotación de credenciales y supervisión de accesos.
El incidente demuestra la importancia de estos mecanismos, aunque todavía no se dispone de información suficiente para determinar cuáles fallaron en este caso concreto.
Cathay Pacific asegura que sus operaciones no se han visto afectadas
La aerolínea ha insistido en que el acceso no autorizado se produjo en sistemas de su proveedor tecnológico y no en su propia infraestructura.
Según Cathay Pacific, el incidente no ha afectado a sus sistemas ni a sus operaciones.
Esto significa que la compañía no ha comunicado interrupciones de vuelos, problemas operativos o alteraciones en sus servicios como consecuencia del acceso indebido a la información.
La aerolínea también ha informado del incidente a las autoridades competentes y continúa analizando los datos facilitados por Amadeus.
Una vez que determine qué clientes y qué información concreta se han visto afectados, prevé realizar notificaciones individuales.
El comunicado oficial no establece un calendario para completar este proceso.
La investigación deberá permitir delimitar con mayor precisión el alcance de la exposición y las medidas que puedan resultar necesarias para proteger a los pasajeros.
La compañía ha pedido disculpas por la preocupación y las molestias ocasionadas.
La dependencia tecnológica multiplica el alcance de los incidentes
Más allá de las aerolíneas afectadas, el caso plantea una cuestión importante para el conjunto de la industria turística.
Las compañías aéreas, agencias de viajes, hoteles y operadores turísticos dependen de infraestructuras tecnológicas compartidas para gestionar reservas, inventarios, distribución y atención al cliente.
Estos sistemas permiten operar a gran escala y conectar a miles de empresas, pero también concentran información comercial y personal de enorme valor.
Cuando se produce un incidente de seguridad en uno de estos proveedores, las consecuencias pueden extenderse a múltiples compañías que utilizan la misma infraestructura.
La exposición de información de varias aerolíneas en el incidente de Amadeus ilustra este riesgo.
La cuestión no consiste en que la utilización de proveedores externos sea necesariamente menos segura que desarrollar sistemas propios.
De hecho, los grandes operadores tecnológicos pueden disponer de recursos especializados y capacidades de protección superiores a los de muchas empresas individuales.
El problema reside en que una vulnerabilidad o un acceso no autorizado en una infraestructura compartida puede afectar simultáneamente a diferentes clientes.
Por eso, la gestión de riesgos tecnológicos debe contemplar no solo la seguridad interna de cada empresa, sino también las condiciones y controles de sus proveedores.
Para las compañías turísticas, esto implica revisar aspectos como los permisos de acceso, los procedimientos de notificación de incidentes, la protección de los datos compartidos y la capacidad de respuesta ante posibles brechas.
También exige definir con claridad las responsabilidades entre el proveedor tecnológico y la empresa que mantiene la relación comercial con el viajero.
La ciberseguridad se convierte en un asunto estratégico para la distribución turística
El incidente se produce en un contexto de creciente preocupación por la seguridad de los datos y las comunicaciones relacionadas con reservas turísticas.
Los sistemas de distribución manejan información que puede incluir nombres, itinerarios, documentos de identidad, datos de contacto y preferencias personales.
Aunque estos registros no contengan información bancaria, pueden resultar útiles para elaborar ataques de suplantación de identidad.
La protección de esta información requiere medidas que vayan más allá de impedir accesos externos a una base de datos.
También es necesario controlar qué usuarios y aplicaciones pueden consultar cada registro, durante cuánto tiempo y con qué finalidad.
La monitorización de accesos, la limitación de permisos y la detección de comportamientos anómalos son elementos fundamentales para reducir el impacto potencial de una credencial comprometida.
En paralelo, las empresas necesitan procedimientos de comunicación que permitan informar rápidamente a los clientes cuando se confirma una exposición de datos.
La confianza del consumidor depende tanto de la capacidad para prevenir incidentes como de la transparencia y eficacia de la respuesta cuando estos se producen.
En el caso de Cathay Pacific, la aerolínea ha optado por publicar una comunicación oficial mientras continúa la investigación y prepara las notificaciones individuales.
Un incidente que trasciende a Cathay Pacific
La exposición de aproximadamente 53.000 reservas de Cathay Pacific constituye una parte de un incidente más amplio que afecta a diferentes compañías aéreas clientes de Amadeus.
La información disponible confirma que se utilizaron credenciales de una cuenta de sistema para acceder sin autorización a registros de reservas y que la actividad identificada abarca desde agosto de 2023 hasta septiembre de 2026.
También confirma que, en el caso de Cathay Pacific, la mayoría de los registros afectados contenían nombres, localizadores y detalles de vuelos, mientras que una parte menor podría incluir información personal adicional.
Por el momento, no existen evidencias de acceso a datos financieros ni de utilización indebida de la información, según las comunicaciones difundidas por las compañías.
Amadeus ha adoptado medidas de contención y continúa investigando el alcance del incidente.
Para el sector turístico, el caso ofrece una advertencia sobre la importancia de supervisar los accesos a sistemas compartidos y gestionar adecuadamente las credenciales utilizadas en las integraciones tecnológicas.
La seguridad de los datos de los viajeros no depende únicamente de las aerolíneas o agencias con las que contratan sus servicios, sino también de todos los proveedores que intervienen en la gestión de sus reservas.
La investigación todavía deberá aclarar cómo se produjo el acceso, por qué pudo mantenerse dentro del periodo identificado y cuál ha sido su alcance total.
Mientras tanto, el incidente recuerda que la protección de la información personal constituye uno de los principales desafíos para una industria turística cada vez más interconectada.
Fuentes consultadas
- Cathay Pacific — Comunicado oficial sobre el incidente de seguridad de datos personales (30 de octubre de 2026)
- Reuters — Cathay Pacific says Amadeus breach affected 53,000 bookings
- Channel News Asia — Cathay Pacific confirma el impacto del incidente de Amadeus
- The Business Times — Data breach exposes personal details of 53,000 Cathay Pacific passengers; other major airlines hit
- Hong Kong Business — Amadeus incident affects 53,000 Cathay bookings
