Sicherheitslücke in Reisebuchungssystem: Passagierdaten waren betroffen
2026-10-13
Según el reporte de Heise Security, un endpoint sin autenticación permitió acceder a un Heap‑Dump de una aplicación Spring Boot utilizada por Amadeus. En ese volcado se encontraban en texto plano credenciales de administrador y tokens de autenticación, lo que permitía leer y escribir en el sistema global de reservas. Los datos expuestos incluían nombres completos, fechas de nacimiento, códigos PNR, información de contacto, documentos de identidad y números de pasaporte de pasajeros de aerolíneas como Lufthansa, Condor y otras compañías asociadas.
Amadeus informó que tomó conocimiento de una "potencial vulnerabilidad" el 21 de septiembre y que, tras la investigación, confirmó que el fallo había sido corregido y que reforzó sus mecanismos de监控 y detección. La empresa aseguró que no se pudo acceder a datos de pago o financieros, aunque no divulgó cuántos registros fueron afectados ni si hubo acceso no autorizado antes del parche.
El artículo también menciona incidentes relacionados: un robo de reservas en el servicio iHotelier de Amadeus que afectó a hoteles Maritim entre agosto de 2026 y septiembre de 2027, y una vulnerabilidad previa de 2019 que permitía ver y modificar reservas de 141 aerolíneas. Autoridades de protección de datos en Nordrhein-Westfalen advierten sobre intentos de phishing que usan datos hoteleros robados para solicitar información de tarjetas o credenciales.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza sistemas de reservas de viajes o proveedores como Amadeus, solicite confirmación de que se aplicó el parche de seguridad, cambie inmediatamente las credenciales de acceso y active la autenticación de dos factores; además, capacite al personal para identificar correos de phishing que soliciten datos de tarjetas o credenciales.