Sinabi ng ANA na Maaaring Apektado ng Paglabag sa Seguridad ng Amadeus ang 37,800 Customer, Kabilang ang mga Numero ng Pasaporte ng 1,700

Nalantad ang mga detalye ng reserbasyon sa pamamagitan ng supplier ng teknolohiya ng isang airline

Sinabi ng All Nippon Airways noong Oktubre 30, 2026, na maaaring nalantad ang impormasyon sa reserbasyon ng humigit-kumulang 37,800 customer matapos magkaroon ng hindi awtorisadong pag-access sa mga sistemang pinatatakbo ng Spanish technology contractor nito, ang Amadeus IT Group. Mayroon ding mga numero ng pasaporte at iba pang personal na detalye ng humigit-kumulang 1,700 customer sa impormasyong nagpakita ng mga palatandaan ng pag-access mula sa labas ng sistema.

Sinabi ng ANA na natukoy ng Amadeus ang hindi awtorisadong pag-access noong Setyembre 24, ngunit nakatanggap ang airline ng ulat mula sa contractor noong Oktubre 20, makalipas ang 26 na araw. Hiniling ng ANA sa Amadeus na siyasatin kung nalantad ang impormasyon nito matapos malaman noong Oktubre 16 na naapektuhan ang iba pang airline na gumagamit sa supplier.

Tinukoy ng airline ang dalawang grupo ng mga apektadong customer. Nalantad ang pangunahing impormasyon sa reserbasyon ng humigit-kumulang 36,100 customer, kabilang ang mga pangalan at detalye ng biyahe. Kasangkot naman ang mas malawak na hanay ng impormasyon ng humigit-kumulang 1,700 customer, kabilang ang mga detalye sa pakikipag-ugnayan, numero ng pasaporte at numero ng frequent flyer. Sinabi ng ANA na hindi kabilang sa apektadong datos ang impormasyon ng credit card at mga password.

Plano ng ANA na simulan ang pakikipag-ugnayan sa mga apektadong customer sa unang linggo ng Nobyembre. Ang agarang babala nito sa mga pasahero ay mag-ingat sa mga kahina-hinalang email, tawag, website at patalastas sa social media na nagpapanggap na mula sa ANA Group.

Hindi lang isang airline ang apektado ng insidente. Nauna nang inanunsyo ng Japan Airlines at Japan Transocean Air na posibleng naapektuhan ang humigit-kumulang 92,000 customer ng hindi awtorisadong pag-access na may kinalaman sa parehong supplier. Sinusuri pa ng iba pang Japanese carrier kung nalantad din ang kanilang impormasyon, habang naiulat ding nalantad ang mga numero ng reserbasyon ng mga customer ng Korean Air at Asiana Airlines.

Anong impormasyon ang nasangkot?

Para sa pinakamalaking grupong naapektuhan ng ANA, na binubuo ng humigit-kumulang 36,100 katao, may mga palatandaan ng pag-access mula sa labas sa limang uri ng impormasyon: mga pangalan, numero ng reserbasyon, petsa ng biyahe, mga bahagi ng biyahe at klase ng cabin. Ang bahagi ng biyahe ay isang yugto ng paglalakbay, gaya ng lipad mula Tokyo patungong Sapporo. Tinutukoy naman ng klase ng cabin ang kategorya ng biyahe, gaya ng economy o business.

Kasangkot sa insidente ang parehong mga detalye para sa mas maliit na grupo na may humigit-kumulang 1,700 customer, pati na ang mga email address, numero ng telepono, numero ng pasaporte, nasyonalidad, numero ng frequent flyer, pangalan ng airline, numero ng lipad, numero ng tiket at numero ng upuan.

Kaya kabilang ang mga numero ng pasaporte sa apektadong impormasyon ng humigit-kumulang 4.5% ng 37,800 customer na tinukoy ng ANA. Ang natitirang humigit-kumulang 95.5% ay kabilang sa grupong limitado sa limang pangunahing detalye ng reserbasyon ang nalantad na impormasyon.

Inilarawan ng ANA ang ebidensiyang tiningnan mula sa labas ng sistema ang impormasyon sa reserbasyon. Hindi pa nakukumpirma sa anunsyo nito kung kinopya rin palabas ng sistema ang impormasyon o kung nagamit ito sa maling paraan. Ang praktikal na ikinababahala para sa mga pasahero ay maaaring mag-ugnay ang mga apektadong detalye sa pagkakakilanlan ng isang tao at sa isang partikular na biyahe.

Aling mga booking ang saklaw ng apektadong panahon?

Tinukoy ng ANA na apektado ang ilang customer na nagpareserba mula Agosto 10, 2023, hanggang Setyembre 23, 2026. Saklaw ng pagsisiwalat nito ang isang bahagi lamang ng mga booking sa panahong iyon na mahigit tatlong taon, hindi ang bawat pasaherong nagpareserba sa mga petsang iyon.

Inilarawan din ang panahong ito bilang sumasaklaw sa mga lipad na pinatatakbo ng ANA mula Agosto 10, 2023, hanggang Setyembre 23, 2026. Sa karamihan ng detalyadong paglalarawan ng anunsyo, ito ang panahong ginawa ang mga reserbasyon. Dapat sumangguni ang mga customer sa indibidwal na abiso ng ANA upang malaman kung kabilang ang sarili nilang booking.

Taglay ng mga apektadong rekord ang impormasyong ibinibigay o nalilikha ng mga pasahero kapag nag-aayos ng biyahe. Tinutukoy ng numero ng reserbasyon ang booking, samantalang tinutukoy naman ng numero ng tiket ang inilabas na dokumento sa paglalakbay. Maaaring manatili ang mga detalyeng ito sa isang passenger service system matapos ang unang pagbili, na makatutulong magpaliwanag kung bakit saklaw ng pagsisiwalat ang mga reserbasyong mula pa noong 2023.

Pagkakatuklas at pagsisiwalat ng insidente

Unang isiniwalat ng ANA sa publiko ang insidente noong Oktubre 29, habang iniimbestigahan pa nito kung ilang customer ang apektado at anong impormasyon ang nasangkot. Kinabukasan, inanunsyo nito ang tantiya na 37,800 customer ang apektado at ang dalawang kategorya ng nalantad na datos.

Nagsimula ang mga pangyayari mahigit isang buwan bago ang mga pampublikong anunsyong iyon:

• Setyembre 24, 2026: Natukoy ng Amadeus ang hindi awtorisadong pag-access sa impormasyon ng reserbasyon ng mga airline. Sinabi ng ANA na wala pa itong natatanggap na ulat noon.
• Oktubre 16: Nalaman ng ANA ang mga insidenteng nakaapekto sa iba pang airline na gumagamit ng Amadeus at hiniling sa supplier na suriin ang impormasyon ng mga reserbasyon sa mga lipad ng ANA.
• Oktubre 20: Nakatanggap ang ANA ng ulat mula sa Amadeus at iniulat ang usapin sa Personal Information Protection Commission ng Japan at iba pang kinauukulang tanggapan.
• Oktubre 29: Isiniwalat ng ANA ang mga palatandaang maaaring na-access mula sa labas ang ilang impormasyon sa reserbasyon ng customer.
• Oktubre 30: Tinukoy ng ANA ang humigit-kumulang 37,800 posibleng apektadong customer at idinetalye ang impormasyong nasangkot.
• Unang linggo ng Nobyembre: Plano ng ANA na unti-unting simulan ang pakikipag-ugnayan sa mga apektadong customer.

Ipinakikita ng mga petsa na nagsimula ang pagsisiyasat ng ANA bago nag-ulat sa airline ang contractor. Natukoy ng Amadeus ang insidente noong Setyembre 24, at hiniling ng ANA na suriin kung nalantad ang impormasyon nito makalipas ang 22 araw. Iniulat naman ng supplier sa ANA ang insidente apat na araw matapos ang kahilingan.

Ipinagpatuloy ng ANA at Amadeus ang pagsusuri sa impormasyon ng customer matapos ang Oktubre 20. Ang Personal Information Protection Commission ng Japan, na tumanggap sa ulat ng ANA, ang awtoridad na nangangasiwa sa pangangalaga ng personal na impormasyon.

Mga hakbang ng Amadeus

Ang Amadeus ang nagbibigay ng passenger service system na nasangkot sa insidente. Ginagamit ng mga airline ang ganitong sistema para pamahalaan ang mga gawain gaya ng reserbasyon at pag-isyu ng tiket, kaya bahagi ng karaniwang operasyon sa paglalakbay ang paghawak ng isang espesyalistang supplier ng teknolohiya sa impormasyon ng customer.

Sinabi ng ANA na kinumpirma nito sa Amadeus na hindi na magagamit ang mga kredensyal na kaugnay ng hindi awtorisadong pag-access at pinaigting na ang pagmamanman. Ang mga kredensyal ay mga digital na pagkakakilanlan o detalye sa pag-access na nagbibigay-daan sa isang tao o sistema na makapasok sa isang serbisyo. Kapag hindi na pinagana ang mga ito, hindi na magagamit ang partikular na mga detalye sa pag-access na iyon.

Sinabi rin ng Amadeus na walang ebidensiya ng pinsalang dulot ng ransomware, pagbabago o pagbura ng datos, at walang pagkaantala sa mga serbisyong ibinibigay nito. Ang ransomware ay mapaminsalang software na ginagamit upang i-lock ang impormasyon o mga sistema at humingi ng bayad. Sa kasong ito, nakatuon ang tugon na inilarawan ng ANA sa hindi awtorisadong pag-access sa mga rekord ng customer at sa pagpigil sa paggamit ng kaugnay na mga kredensyal sa pag-access.

Tinutugunan ng mga hakbang ang pag-access at pagmamanman sa panig ng supplier. Kasabay nito, kailangang tukuyin ng ANA kung sinu-sino ang nasangkot ang impormasyon at ipaalam sa kanila kung aling mga detalye ang naapektuhan.

Iba pang airline na apektado ng insidente sa iisang supplier

Inanunsyo ng Japan Airlines at Japan Transocean Air noong Oktubre 28 na may mga palatandaang na-access mula sa labas sa pamamagitan ng Amadeus ang impormasyon sa reserbasyon ng humigit-kumulang 92,000 customer. Posible ring nalantad ang mga numero ng pasaporte at iba pang detalye ng humigit-kumulang 2,000 customer. Nakatanggap ang dalawang airline ng ulat mula sa Amadeus noong Oktubre 23.

Humigit-kumulang 2.4 na beses ng bilang na 37,800 sa ANA ang 92,000 customer na tinukoy ng JAL at JTA. Kasangkot ang mga numero ng pasaporte at iba pang karagdagang detalye ng humigit-kumulang 2.2% ng grupo ng JAL at JTA, kumpara sa humigit-kumulang 4.5% ng grupo ng ANA.

Sinabi ng Air Do, Solaseed Air at StarFlyer, na gumagamit ng mga sistema ng Amadeus sa pamamagitan ng ANA, na ipinaalam sa kanila ng ANA noong Oktubre 29 na may mga palatandaan ng pag-access mula sa labas sa personal na impormasyon. Nakikipagtulungan sila sa ANA upang alamin ang lawak ng epekto. Nalantad din ang mga numero ng reserbasyon ng mga customer ng Korean Air at Asiana Airlines, kaya umabot ang epekto ng insidente lampas sa Japan.

Sinabi ng JAL at JTA na nakumpirma nilang walang maling paggamit sa apektadong impormasyon at walang epekto sa operasyon ng mga lipad. Dahil iisa ang supplier ng mga airline, nagiging magkakapareho ang pinagmumulan ng panganib, ngunit kailangang tukuyin ng bawat carrier ang sarili nitong mga apektadong customer at ipagbigay-alam ito sa kanila.

Bakit nagbabala ang ANA laban sa pagpapanggap

Hinimok ng ANA ang mga customer na mag-ingat sa mga mensahe at tawag na maling nagsasabing kinakatawan nila ang grupo ng airline. Maaaring maging mas kapani-paniwala ang tangkang panloloko kung taglay ng tumatawag o nagpadala ng email ang tunay na petsa ng biyahe, destinasyon o numero ng lipad.

Halimbawa, maaaring sabihin sa isang mapanlinlang na mensahe na kailangang magbayad agad para sa isang totoong booking o magbigay ng impormasyong pampinansyal ang pasahero upang makakuha ng refund. Ang phishing ay ang pagpapanggap bilang isang pinagkakatiwalaang organisasyon upang hikayatin ang isang tao na magbunyag ng impormasyon o bumisita sa mapanlinlang na website.

Maaaring beripikahin ng mga pasaherong makatanggap ng hindi inaasahang mensahe tungkol sa booking sa website o app ng ANA na karaniwan nilang ginagamit, sa halip na sundan ang link o tawagan ang numerong nasa mensahe. Dapat maging lalong maingat sa mga kahilingan para sa mga password, verification code, impormasyon ng card o larawan ng pasaporte kapag natanggap ang mga ito sa hindi hiniling na pakikipag-ugnayan.

Magbibigay ng mas makabuluhang batayan para kumilos ang planong indibidwal na abiso ng ANA sa mga apektadong customer kaysa sa malawak na saklaw ng panahon ng mga reserbasyon lamang. Para sa kabilang sa grupong may humigit-kumulang 1,700 katao, kasama sa ikinababahala ang mga detalye sa pakikipag-ugnayan at pagkakakilanlan, pati na ang itineraryo. Para naman sa mas malaking grupo, iniuugnay pa rin ng nalantad na impormasyon ang pangalan sa isang biyahe.

Lalong tumitindi ang mga alalahanin sa seguridad ng datos sa Japan dahil sa iba pang pagsisiwalat

Sinabi rin ng Ministry of Foreign Affairs ng Japan noong Oktubre 30 na maaaring nalantad sa hindi awtorisadong pag-access ang humigit-kumulang 3,600 rekord na naglalaman ng personal na impormasyon, kabilang ang mga pangalan at email address. Humigit-kumulang 900 rekord ang pag-aari ng mga taong hindi kabilang sa ministeryo. Nasa isang network na konektado sa mga panlabas na sistema ang apektadong kapaligiran; sinabi ng ministeryo na wala itong nakumpirmang hindi awtorisadong pag-access sa hiwalay at saradong network na humahawak ng lubhang kumpidensiyal na impormasyon.

Isiniwalat ng Ryohin Keikaku, operator ng Muji, na maaaring nalantad sa hindi awtorisadong pag-access sa opisyal nitong app ang hanggang 27.26 milyong rekord ng customer. Kabilang sa posibleng apektadong datos ang mga email address, petsa ng kapanganakan at kasarian, pati ang impormasyong kaugnay ng mga taong nagbura na ng kanilang account sa app. Hindi kabilang sa apektadong datos ang mga pangalan at impormasyon ng credit card.

Sinabi ng Muji na wala itong nakumpirmang maling paggamit, isa-isang kokontakin ang mga apektadong customer at patuloy na normal na patatakbuhin ang app at online store nito. Nagbabala rin ito sa mga customer na huwag mag-click ng mga link sa kahina-hinalang email. Magkakaiba ang impormasyon at serbisyong nasangkot sa mga pagsisiwalat ng airline, ministeryo at retailer, ngunit kailangan ng mga apektadong tao sa bawat kaso ng tumpak na abiso tungkol sa kung aling personal na detalye ang nalantad.

Mahahalagang Punto

• Tinukoy ng ANA ang humigit-kumulang 37,800 customer na maaaring nalantad ang impormasyon sa reserbasyon dahil sa hindi awtorisadong pag-access sa Amadeus.
• Kasangkot ang mga pangunahing detalye ng reserbasyon ng humigit-kumulang 36,100 customer; kasangkot din ang mga numero ng pasaporte, detalye sa pakikipag-ugnayan at iba pang impormasyon ng humigit-kumulang 1,700 customer.
• Sinabi ng ANA na hindi kabilang sa apektadong datos ang impormasyon ng credit card at mga password.
• Natukoy ng Amadeus ang insidente noong Setyembre 24, 2026. Nakatanggap ang ANA ng ulat noong Oktubre 20 at idinetalye ang mga apektadong customer noong Oktubre 30.
• Hindi na pinagana ng Amadeus ang mga kaugnay na kredensyal at pinaigting ang pagmamanman. Iniulat nitong walang pagkaantala sa serbisyo.
• Plano ng ANA na simulan ang pagpapadala ng mga indibidwal na abiso sa unang linggo ng Nobyembre at nagbabala ito tungkol sa mga tangkang pagpapanggap.
• Hiwalay na tinukoy ng JAL at JTA ang humigit-kumulang 92,000 apektadong customer, habang sinusuri pa ng ibang carrier kung nalantad din ang kanilang impormasyon.