PENTESTY · ANÁLISE EDITORIAL · · 5 min de leitura
Amadeus: delimitar o acesso aos dados de reservas
Os comunicados sobre a Amadeus descrevem clientes e reservas com escopos diferentes. Para empresas, a resposta precisa relacionar os dados envolvidos, quem podia consultá-los e as evidências de contenção.
Por Pentesty
Dois comunicados, duas unidades de impacto
Em comunicado de 30 de outubro de 2026, JAL e Japan Transocean Air informaram rastros de acesso externo a dados de aproximadamente 92 mil clientes no sistema da Amadeus. Cerca de 90 mil envolviam campos básicos de reserva; outros 2 mil incluíam informações adicionais, como contato e passaporte. O período indicado vai de 10 de agosto de 2023 a 23 de setembro de 2026.
A Cathay Pacific informou, também em 30 de outubro, cerca de 53 mil reservas afetadas. Descreveu localizador, nome e detalhes de voo, com campos adicionais potencialmente acessados em uma parcela menor. A empresa declarou ausência de evidência de acesso a informações financeiras ou de pagamento. Esses relatos de outubro tratam de acessos anteriores, não datam o início do incidente pela publicação desta análise.
A resposta começa por um recorte verificável
Para uma empresa que organiza viagens, o primeiro passo é relacionar o aviso ao serviço contratado. Identifique o fornecedor, o responsável interno, os conjuntos de reservas alcançados e o período coberto pela investigação. Separe os campos confirmados daqueles ainda sob análise. Um aviso sobre parte da base não deve virar uma conclusão sobre todos os viajantes ou todas as integrações.
Clientes e reservas são unidades diferentes, e os comunicados não apresentam uma deduplicação conjunta. Registre a unidade e o método antes de consolidar números. Para cada campo, indique a necessidade operacional e quem o recebe. A análise sobre minimização de dados na verificação de identidade ajuda a diferenciar uma informação necessária de uma cópia completa de documento.
A conta técnica precisa de um limite e um responsável
A Cathay atribui à Amadeus a informação sobre uso de credenciais de uma conta de sistema e menciona redefinição de senha na contenção. O comunicado não explica como essas credenciais foram obtidas. Na avaliação proposta, peça ao responsável pelo serviço a relação entre conta, finalidade e operações permitidas, com um contato que possa esclarecer os limites da evidência disponível.
Em ambiente autorizado com o fornecedor, ou em um simulador controlado, prepare reservas e identidades fictícias. Compare uma consulta permitida com outra que o perfil não deveria realizar. Depois, retire o acesso da identidade de teste e confira uma nova consulta. Registre conta, horário e resultado com dados minimizados. O exercício não deve consultar passageiros reais nem alterar reservas de produção.
Avisar com contexto sem criar outra cópia
A JAL orientou atenção a comunicações fraudulentas que se apresentem como integrantes do grupo. A equipe de viagens pode combinar com segurança e atendimento um canal conhecido para conferir mensagens sobre o caso. Defina quais informações bastam para orientar o viajante e quem aprova o envio. Evite reproduzir documentos ou detalhes completos da viagem em um relatório amplamente distribuído.
Considere também os destinatários internos dos dados e os registros necessários à apuração. Defina acesso, retenção e tratamento de exceções com os responsáveis, preservando o que for necessário para investigar. A análise de Trezor e ShipMonk complementa esse trabalho: uma medida sobre acesso e uma confirmação de eliminação de cópias respondem a perguntas diferentes.
Aceite o resultado do fluxo que foi exercitado
Guarde a regra esperada antes do teste e compare as respostas obtidas. A consulta legítima precisa continuar funcionando no ambiente autorizado, enquanto o caminho revogado deve produzir o resultado de negação previsto. Se uma parte depender exclusivamente de declaração do fornecedor, registre essa dependência e o próximo responsável. A apuração de alegações envolvendo terceiros oferece critérios para separar declaração e observação.
O aceite deve indicar o conjunto exercitado, as permissões verificadas e as lacunas restantes. Um teste atual pode demonstrar o comportamento daquele fluxo; não reconstrói, sozinho, o conteúdo de acessos passados. A disponibilidade do serviço e a confidencialidade dos dados também precisam de evidências próprias. Use essas distinções para decidir o próximo passo, sem transformar uma verificação delimitada em garantia geral de segurança.
Perguntas frequentes
Podemos somar clientes e reservas em um único total?
Mantenha as unidades separadas. Os comunicados não oferecem uma reconciliação conjunta que permita tratar essas contagens como um total de pessoas únicas.
Os comunicados identificam uma CVE ou explicam a obtenção das credenciais?
Os documentos citados não identificam uma CVE nem explicam a obtenção das credenciais. A referência à conta de sistema deve manter sua atribuição.
Redefinir uma senha encerra a apuração?
A medida precisa ser relacionada ao acesso que pretendia conter. Verifique o resultado dentro do escopo autorizado e mantenha as questões históricas ainda sem resposta.
É necessário usar reservas reais para avaliar o controle?
A proposta usa informações e identidades fictícias em ambiente autorizado ou simulado. Não exige consultar dados de passageiros nem modificar reservas reais.
Fontes e referências
- JAL e Japan Transocean Air: comunicado de 30 de outubro de 2026
- Cathay Pacific: comunicado de 30 de outubro de 2026
Análise original da Pentesty, publicada em 5 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.