Cathay Pacific: Rund 53.000 Buchungsdatensätze geleakt – HKCERT mahnt zur Wachsamkeit

Cathay Pacific hat heute einen Vorfall zur Sicherheit personenbezogener Daten bekannt gegeben, der den Drittanbieter Amadeus IT Group, S.A. betrifft. Rund 53.000 Buchungsdatensätze mit Bezug zu Cathay Pacific wurden von unbefugten Personen abgerufen. Das Hong Kong Computer Emergency Response Team Coordination Centre (HKCERT) zeigt sich besorgt und mahnt die Bevölkerung zur Wachsamkeit, damit Betrüger die Flugdaten nicht nutzen können, um sich als Kundenservice auszugeben.

Details zum Vorfall

Laut der Mitteilung von Cathay Pacific erhielt das Unternehmen am 28. Oktober eine Meldung von Amadeus und am 29. Oktober weitere Informationen. Bei dem Vorfall nutzten unbefugte Personen die Anmeldedaten von Systemkonten, um sich unerlaubt Zugang zu Buchungsdaten in den Amadeus-Systemen zu verschaffen, darunter auch Buchungsdatensätze von Cathay Pacific.

Den von Amadeus bereitgestellten Informationen zufolge ereignete sich der unbefugte Zugriff zwischen August 2023 und September 2026 und betraf rund 53.000 Buchungen mit Bezug zu Cathay Pacific. Zu den betroffenen Daten zählen vor allem Buchungsreferenznummern, Passagiernamen und Flugdaten; in einigen Fällen möglicherweise auch Kontakt-E-Mail-Adressen und Telefonnummern, Reisedokumente sowie Nummern von Vielfliegerprogrammen.

Vorsicht vor Betrugsrisiken

HKCERT weist darauf hin, dass Buchungsdaten aus dem Luftverkehr stark kontextbezogen sind: Sobald Betrüger echte Passagiernamen, Flugnummern und ähnliche Angaben kennen, steigt die Glaubwürdigkeit, wenn sie sich als Kundenservice einer Fluggesellschaft ausgeben, und die Betroffenen können die Echtheit ihres Gegenübers kaum noch beurteilen. In jüngster Zeit kam es bereits zu Betrugsfällen, bei denen Täter geleakte Fluggastdaten nutzten; in einem Fall entstand dem Opfer ein Schaden von bis zu 1,2 Millionen HK$.

HKCERT ruft alle, die in letzter Zeit einen entsprechenden Flug gebucht haben, zur Wachsamkeit auf und gibt folgende Empfehlungen:

• Vertrauen Sie nicht allein deshalb auf die Identität Ihres Gegenübers, weil es persönliche Daten oder Flugdaten kennt.
• Überprüfen Sie Informationen unabhängig über offizielle Kanäle und verwenden Sie keinesfalls die Ihnen zugesandten Links oder Kontaktmöglichkeiten.
• Geben Sie auf Aufforderung hin keine sensiblen Daten preis und führen Sie keine Überweisungen aus, etwa wenn nach Passwörtern oder Einmalpasswörtern (OTP) gefragt wird.

Besteht der Verdacht, dass persönliche Daten oder Konten missbraucht wurden, sollten Betroffene umgehend die Passwörter der betreffenden Konten ändern und sich mit ihrer Bank, der Fluggesellschaft oder der zuständigen Stelle in Verbindung setzen.

Organisationen sollten ihr Cybersicherheitsmanagement verstärken

HKCERT erklärt, der aktuelle Vorfall zeige erneut, wie wichtig es für Organisationen ist, Cybersicherheitsrisiken in der Lieferkette kontinuierlich zu managen, wenn sie Dienste Dritter nutzen und Kundendaten verarbeiten. Organisationen sollten die erhobenen und gespeicherten personenbezogenen Daten regelmäßig überprüfen und nur die notwendigen Daten aufbewahren, um unnötige Risiken eines Datenlecks zu vermeiden.

Darüber hinaus sollten Organisationen wissen, welche Dienstleister auf Kundendaten zugreifen können, und nach dem Prinzip der minimalen Rechtevergabe vorgehen, also nicht mehr benötigte Berechtigungen regelmäßig überprüfen und entziehen, um das Risiko zu senken.

HKCERT erinnert die Bevölkerung erneut daran, dass die Identität einer Person nicht echt sein muss, nur weil sie Ihre persönlichen Daten, Flug- oder Einkaufsdaten korrekt nennen kann. Bei Aufforderungen zu Rückerstattungen, Entschädigungen oder Überweisungen sollten Sie zunächst innehalten und die Echtheit über offizielle Kanäle überprüfen.