Cathay Pacific: dados de cerca de 53 000 reservas expostos em incidente de segurança; HKCERT apela à vigilância dos cidadãos

A Cathay Pacific divulgou hoje um incidente de segurança de dados pessoais que envolve o fornecedor de serviços terceiro Amadeus IT Group, S.A., no qual dados de cerca de 53 000 reservas associadas à Cathay Pacific foram acedidos por pessoas não autorizadas. O Centro de Coordenação de Segurança Informática de Hong Kong (HKCERT) manifestou preocupação e apelou à população para redobrar a vigilância, de modo a evitar que burlões se façam passar pelo apoio ao cliente com base em dados de voos.

Detalhes do incidente

De acordo com o comunicado da Cathay Pacific, a empresa recebeu a notificação da Amadeus a 28 de outubro e obteve informações adicionais a 29 de outubro. O incidente envolve a utilização, por pessoas não autorizadas, de credenciais de início de sessão de contas de sistema para aceder indevidamente a dados de reservas de viagens nos sistemas da Amadeus, incluindo registos de reserva da Cathay Pacific.

Segundo os dados fornecidos pela Amadeus, o acesso não autorizado ocorreu entre agosto de 2023 e setembro de 2026 e abrangeu cerca de 53 000 reservas relacionadas com a Cathay Pacific. Os dados afetados incluem sobretudo o número de referência da reserva, o nome dos passageiros e informações de voo; em alguns casos, podem também estar envolvidos o e-mail e o telefone de contacto, dados de documentos de viagem e números de programas de passageiro frequente.

Atenção ao risco de fraude

O HKCERT salienta que os dados de reservas aéreas têm um forte contexto situacional: quando os burlões conseguem obter nomes reais de passageiros, números de voo e outros dados, aumenta a credibilidade da sua alegada identidade como apoio ao cliente da companhia aérea, tornando difícil para o cidadão avaliar a autenticidade de quem está do outro lado. Recentemente, têm surgido casos de burlões que utilizam dados divulgados de passageiros aéreos para aplicar fraudes, com vítimas a registar perdas de até HK$1,2 milhões.

O HKCERT apela aos cidadãos que tenham efetuado recentemente reservas nos voos em causa para que redobrem a vigilância, apresentando as seguintes recomendações:

• Não confiar na identidade de alguém apenas porque essa pessoa conhece dados pessoais ou de voo.
• Verificar a informação de forma independente através de canais oficiais, nunca utilizando ligações ou contactos fornecidos pelo interlocutor.
• Nunca fornecer dados sensíveis nem efetuar transferências a pedido de terceiros, por exemplo quando é solicitada uma palavra-passe ou uma palavra-passe de utilização única (OTP).

Se suspeitar que os seus dados pessoais ou contas foram utilizados indevidamente, o cidadão deve alterar o mais rapidamente possível as palavras-passe das contas em causa e contactar o banco, a companhia aérea ou as entidades relevantes.

As organizações devem reforçar a gestão da cibersegurança

O HKCERT afirma que este incidente volta a demonstrar a importância de as organizações gerirem de forma contínua os riscos de cibersegurança da cadeia de fornecimento quando recorrem a serviços de terceiros e tratam dados de clientes. As organizações devem rever periodicamente os dados pessoais que recolhem e conservam, mantendo apenas os dados necessários, de modo a evitar riscos desnecessários de fuga de informação.

Além disso, as organizações devem saber quais os fornecedores de serviços com acesso a dados de clientes e adotar o princípio do menor privilégio, revendo e revogando periodicamente as autorizações que já não sejam necessárias, para reduzir o risco.

O HKCERT volta a recordar aos cidadãos que, mesmo que o interlocutor consiga indicar corretamente os seus dados pessoais, de voo ou de compras, isso não significa que a sua identidade seja verdadeira. Perante pedidos de reembolso, indemnização ou transferência, deve interromper de imediato a operação e verificar a sua veracidade através de canais oficiais.