Singapore Airlines confirmó que una brecha en Amadeus, proveedor tecnológico de reservas, afectó a 46.000 registros de viajeros, según informó el 4 de noviembre de 2026. La información expuesta incluye nombres, referencias de reserva e itinerarios; el incidente puede facilitar fraudes personalizados, aunque la aerolínea afirma que sus propios sistemas no fueron vulnerados.
Qué información de los pasajeros quedó expuesta
Los registros afectados contienen nombres de clientes, números de referencia de reserva, itinerarios de viaje y clases de reserva. En un grupo más reducido, de aproximadamente 620 reservas, también quedaron expuestos datos de contacto, documentos de viaje y números de afiliación al programa KrisFlyer.
La diferencia entre ambos grupos importa: la exposición de información adicional no afectó a todas las reservas identificadas. Aun así, incluso los datos básicos pueden servir para construir mensajes fraudulentos convincentes, porque permiten a un atacante mencionar un vuelo, destino o código de reserva real.
Singapore Airlines está contactando a los clientes afectados que tienen viajes próximos y, como medida preventiva, les cambiará las referencias de reserva. La compañía indicó que sus sistemas informáticos no fueron vulnerados directamente; el incidente se originó en el entorno de un proveedor externo utilizado por la industria aérea.
Amadeus atribuye el incidente a una vulnerabilidad
Amadeus, empresa española que ofrece tecnología para gestionar reservas y operaciones de aerolíneas y aeropuertos, comunicó que detectó una vulnerabilidad en un entorno de visualización de reservas de viajes. La compañía dijo que ciertos datos de ese entorno pudieron quedar accesibles a los atacantes y que aplicó medidas para corregir el problema, además de reforzar la monitorización y la detección.
Amadeus señaló que no había indicios de acceso a datos de pagos o información financiera ni señales de que la vulnerabilidad se hubiera utilizado con fines de ransomware. Sin embargo, que no se haya confirmado el acceso a datos financieros no elimina el riesgo: los detalles de un viaje pueden usarse para suplantar a una aerolínea y solicitar credenciales o pagos mediante mensajes falsos.
Otras aerolíneas también reportaron afectaciones
El incidente alcanza a varias compañías aéreas. Cathay Pacific comunicó que alrededor de 53.000 reservas fueron afectadas; Japan Airlines informó de unos 92.000 clientes, mientras que All Nippon Airways reportó 37.800. También confirmaron afectaciones Japan Transocean Air, Korean Air, Asiana Airlines y Malaysia Airlines. Qantas indicó que seguía investigando.
Las cifras y los tipos de datos expuestos varían entre aerolíneas. Cathay Pacific, por ejemplo, explicó que en la mayoría de los casos se accedió a referencias, nombres y detalles de vuelo, mientras que una parte menor incluyó datos de contacto, documentos de viaje o números de viajero frecuente. No se debe asumir que todos los clientes de cada compañía quedaron expuestos a la misma información.
Por qué conviene estar alerta ante mensajes sobre viajes
Los datos de una reserva aportan contexto suficiente para hacer más creíbles los intentos de phishing. Un correo o mensaje que mencione el nombre del pasajero y un vuelo real podría intentar inducirlo a abrir un enlace, entregar sus credenciales o pagar una supuesta tarifa por cambios, reembolsos o servicios adicionales. Los datos de documentos de viaje y de programas de fidelidad también podrían facilitar intentos de suplantación o de acceso a cuentas.
Los pasajeros que reciban una notificación deben verificarla a través de los canales oficiales de la aerolínea, sin usar enlaces ni números de teléfono incluidos en mensajes inesperados. También es prudente desconfiar de solicitudes urgentes de pago o de contraseñas relacionadas con una reserva. Hasta la información publicada, no había confirmación de que los datos se hubieran difundido en la dark web ni de que un grupo criminal hubiera reivindicado el ataque.
En resumen
- La brecha de Amadeus afectó a 46.000 registros de Singapore Airlines.
- Unas 620 reservas incluían datos adicionales, como contactos, documentos de viaje o números KrisFlyer.
- La aerolínea afirma que sus sistemas no fueron vulnerados y cambiará referencias de reservas de ciertos pasajeros.
- Amadeus corrigió la vulnerabilidad y dijo no tener indicios de acceso a datos financieros.
- Los detalles de viaje expuestos pueden hacer más convincentes los intentos de phishing y fraude.
