Los datos de reserva de 350.164 viajeros de la aerolínea escandinava SAS podrían haber quedado expuestos en una filtración del proveedor tecnológico de viajes Amadeus, la cifra más alta reportada hasta ahora por una aerolínea. SAS reveló la exposición a través de la cadena sueca SVT el domingo 9 de noviembre de 2026, y ha informado del asunto a la autoridad sueca de protección de la privacidad, la Autoridad Sueca para la Protección de la Privacidad, conocida como IMY.

Los datos afectados corresponden en su mayoría a reservas antiguas y viajes ya completados, y SAS afirma que hasta ahora no ha encontrado pruebas de que se haya accedido a datos de pago o financieros.

Puntos Clave

• SAS dice que los datos de reserva de 350.164 viajeros podrían haber quedado expuestos en la filtración de datos de Amadeus, la cifra más alta reportada por una aerolínea hasta ahora.
• La Autoridad Nacional de Seguridad de Noruega afirma que el acceso no autorizado podría haber durado al menos tres años, desde agosto de 2023 hasta septiembre de 2026.
• Los datos expuestos corresponden en su mayoría a reservas antiguas y viajes completados, incluidas referencias de reserva, fechas, detalles de vuelos y números de pasajeros.
• SAS afirma que no se han encontrado pruebas de acceso a datos de pago o financieros, y que hasta ahora no se han identificado más categorías de datos personales.
• Finnair dice que unas 116.000 de sus reservas aparecieron en las listas de vuelos consultadas y está emitiendo nuevos códigos de reserva para las reservas activas.

Qué Pasó

La filtración salió a la luz a través de SAS, que dijo que los datos de reserva de 350.164 de sus viajeros podrían haber quedado expuestos después de que un actor externo obtuviera acceso a los sistemas de Amadeus.

Según la información divulgada hasta ahora, el atacante utilizó credenciales de sistema comprometidas para realizar búsquedas automatizadas en los datos de reserva de Amadeus. Las búsquedas extrajeron referencias de reserva, fechas de viaje, detalles de vuelos y números de pasajeros, en su mayoría de reservas antiguas y viajes ya completados.

El calendario es lo que ha alarmado a los reguladores y a las aerolíneas implicadas. La Autoridad Nacional de Seguridad de Noruega dijo el viernes 6 de noviembre que el acceso no autorizado podría haber durado al menos tres años. Se entiende que la ventana de la filtración va de agosto de 2023 a septiembre de 2026, y que la vulnerabilidad se cerró el 23 de septiembre de 2026.

La filtración de datos de Amadeus: cómo funcionó la intrusión

La intrusión no consistió en entrar en los sistemas propios de una aerolínea. En cambio, el atacante apuntó a Amadeus, la empresa tecnológica que está detrás de los sistemas de reserva de muchas de las aerolíneas del mundo. Al usar credenciales de sistema comprometidas, el actor externo pudo realizar búsquedas automatizadas en los datos de reserva de Amadeus.

La debilidad estaba en un entorno de visualización de reservas, una parte del sistema que muestra los detalles de las reservas.

Antecedentes: Amadeus y las aerolíneas afectadas

Amadeus, con sede en España, proporciona los sistemas de reserva, emisión de billetes y control de salidas que usan las aerolíneas de todo el mundo, y procesa cientos de millones de reservas al año.

Finnair ha dicho que unas 116.000 de sus reservas aparecieron en las listas de vuelos consultadas, y la aerolínea finlandesa está emitiendo nuevos códigos de reserva para las reservas activas como medida de precaución. Otras aerolíneas que han reportado un impacto incluyen Singapore Airlines, Cathay Pacific, Japan Airlines, ANA, Korean Air, Asiana, StarFlyer, Malaysia Airlines y Condor.

Reacciones y qué hacen las aerolíneas

SAS ha decidido no contactar a los viajeros afectados de forma individual, al considerar que el riesgo es bajo según el Reglamento General de Protección de Datos de la Unión Europea, conocido como GDPR. La aerolínea dijo que esa decisión podría cambiar si surge más información de la investigación. El enfoque refleja la valoración de la aerolínea de que los datos expuestos, en su mayoría reservas antiguas sin datos de pago, suponen un riesgo limitado.

Finnair ha adoptado un enfoque más práctico, emitiendo nuevos códigos de reserva para las reservas activas que aparecieron en las listas consultadas. Cambiar un código de reserva hace inútil la referencia antigua para cualquiera que pudiera haberla copiado.

Por Qué Importa

La filtración de datos de Amadeus importa porque expone cuánto depende la industria de viajes de un puñado de proveedores tecnológicos. Una sola vulnerabilidad en el sistema de un proveedor puede exponer los registros de reserva de pasajeros de decenas de aerolíneas, en varios continentes, durante un periodo de años.

Los detalles de una reserva pueden parecer menos sensibles que los números de tarjetas de pago, pero siguen siendo valiosos para los delincuentes. Una referencia de reserva, combinada con un nombre y fechas de viaje, puede usarse para crear mensajes de suplantación de identidad convincentes que parecen proceder de una aerolínea.

Qué Sigue

Amadeus sigue investigando el incidente, y se espera que la empresa comparta más detalles con las aerolíneas y los reguladores a medida que avance su revisión. El número de aerolíneas afectadas podría crecer a medida que más compañías completen sus revisiones, y Qantas está entre las que aún trabajan para determinar si sus pasajeros quedaron atrapados en las listas de vuelos consultadas.

SAS ha dicho que su decisión de no contactar a los viajeros afectados de forma individual podría cambiar, y los pasajeros que volaron con SAS o con las otras aerolíneas afectadas entre agosto de 2023 y septiembre de 2026 deberían estar atentos a nuevos anuncios.

Preguntas Frecuentes

¿Cuántos viajeros de SAS resultaron afectados por la filtración de datos de Amadeus?

SAS dice que los datos de reserva de 350.164 viajeros podrían haber quedado expuestos, la cifra más alta reportada por una aerolínea hasta ahora en el incidente.

¿Qué datos quedaron expuestos en la filtración?

Los datos expuestos corresponden en su mayoría a reservas antiguas y viajes completados, incluidas referencias de reserva, fechas, detalles de vuelos y números de pasajeros.

¿Cuánto duró el acceso no autorizado?

La Autoridad Nacional de Seguridad de Noruega dijo que el acceso no autorizado podría haber durado al menos tres años, desde agosto de 2023 hasta septiembre de 2026.

¿Qué otras aerolíneas resultaron afectadas?

Finnair dice que unas 116.000 de sus reservas estaban en las listas de vuelos consultadas.

¿Contactará SAS a los viajeros afectados?

SAS ha decidido no contactar a los viajeros afectados de forma individual, al considerar que el riesgo es bajo según el GDPR, pero la aerolínea dice que esa decisión podría cambiar a medida que continúe la investigación.

Cobertura relacionada: la filtración de Marathon Health que expuso datos médicos y de Seguridad Social de casi 5,7 millones de personas (Filtración de Marathon Health expone los datos médicos y de Seguridad Social de 5,7 millones de personas), y la filtración del DHS que expuso a 40.000 empleados, incluidos agentes de ICE (Filtración del DHS expone a 40.000 empleados, incluidos agentes de ICE).