Cathay Pacific zufolge wurden Informationen aus etwa 53.000 Flugbuchungen durch einen unbefugten Zugriff auf den Technologiedienstleister der Airline, Amadeus IT Group, offengelegt. Die eigenen Systeme der Fluggesellschaft waren nicht betroffen.
In ihrer Mitteilung vom 30. Oktober 2026 erklärte die in Hongkong ansässige Fluggesellschaft, dass eine unbefugte Partei zwischen August 2023 und September 2026 mithilfe der Zugangsdaten eines Systemkontos von Amadeus auf Reservierungsdaten zugegriffen habe. Der Vorfall wirft Fragen zur Sicherheit von Zugangsdaten, zur Überwachung von Zugriffen und zum Ausmaß der unbefugten Aktivitäten in Systemen auf, die Passagierinformationen verarbeiten.
Laut der Sicherheitshinweis von Cathay Pacific hat Amadeus keine Hinweise auf einen Missbrauch gefunden. Die Ermittler haben nicht offengelegt, wie die Zugangsdaten erlangt wurden oder wann der Eindringling erstmals entdeckt wurde.
Passagierdaten bei Amadeus-Datenpanne offengelegt
Amadeus informierte Cathay am 28. Oktober und stellte am 29. Oktober weitere Details bereit. Bei den etwa 53.000 betroffenen Datensätzen handelt es sich um Buchungen, nicht unbedingt um einzelne Passagiere. Cathay konnte bislang nicht feststellen, wie viele Reisende betroffen waren.
Die meisten Datensätze enthielten Namen, Buchungsreferenzen und Flugdaten. Eine kleinere Teilmenge könnte auch E-Mail-Adressen, Telefonnummern, Informationen zu Reisedokumenten oder Vielfliegernummern enthalten haben. Cathay meldete keine Hinweise darauf, dass Zahlungs- oder Finanzinformationen abgerufen wurden.
Diese Angaben könnten gezieltes Phishing oder die Nachahmung der Fluggesellschaft ermöglichen. Eine separate Brevo-Datenpanne, die Phishing-E-Mails an Trezor-Abonnenten ermöglichte zeigt, wie kompromittierte Drittanbieterdienste betrügerische Kommunikation erleichtern können. Im Fall von Cathay wurde kein solcher Missbrauch bestätigt.
Auch andere Fluggesellschaften haben eine Offenlegung von Daten im Zusammenhang mit Amadeus gemeldet. Japan Airlines identifizierte etwa 92.000 betroffene Kunden, darunter Passagiere von Japan Transocean Air, während All Nippon Airways rund 37.800 meldete.
Ähnliche Bedenken hinsichtlich der von externen Dienstleistern gespeicherten Informationen kamen beim Datenleck bei Frontline Education, von dem Mitarbeiterdatensätze betroffen waren auf.
Amadeus hat einen Passwort-Reset durchgeführt und seine Überwachungs- und Erkennungsfunktionen erweitert. Aus der Mitteilung geht nicht hervor, ob der Angreifer während dieses Zeitraums dauerhaft Zugriff hatte.
Sicherheitsmaßnahmen und laufende Untersuchung
Der gemeldete Einsatz von Zugangsdaten für Systemkonten macht Zugriffsverwaltung und Überwachung zu Prioritäten für Organisationen, die auf externe Dienstleister angewiesen sind. Kompromittierte vertrauenswürdige Identitäten spielten auch beim Shai-Hulud-Angriff auf die npm-Lieferkette eine Rolle, obwohl sich die Angriffsmethode unterschied.
Sicherheitsteams können vergleichbare Risiken mit den folgenden Maßnahmen verringern:
- Zugriffe von Dienstleistern beschränken. Wo möglich, das Prinzip der geringsten Rechte, Netzwerksegmentierung und Just-in-time-Berechtigungen durchsetzen.
- Dienstkonten absichern.Verwaltete Identitäten, kurzlebige Zugangsdaten und ein zentralisiertes Geheimnismanagement verwenden.
- Verdächtige Aktivitäten überwachen.Ungewöhnliche Authentifizierungen, Datenbankabfragen und umfangreiche Datenexporte erkennen.
- Datenoffenlegung minimieren.Den Zugriff von Dienstleistern auf Kundendatensätze beschränken und Aufbewahrungsrichtlinien durchsetzen.
- Kontrollen von Dienstleistern bewerten.Schutzmaßnahmen für die Authentifizierung, Zugriffsprotokolle, Sicherheitsbewertungen und Anforderungen an die Benachrichtigung überprüfen.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen.Die Kompromittierung von Dienstleisterkonten, die Offenlegung von Kundendaten und koordinierte Benachrichtigungsverfahren durchspielen.
Cathay überprüft die betroffenen Datensätze und plant, Kunden einzeln zu benachrichtigen, sobald ihre Daten bestätigt sind. Außerdem wurden die zuständigen Behörden informiert.
Die Untersuchung muss noch klären, wie die Zugangsdaten kompromittiert wurden und wann die Aktivitäten entdeckt wurden. Diese Erkenntnisse werden helfen, das vollständige Ausmaß des Vorfalls zu bestimmen und festzustellen, ob weitere Schutzmaßnahmen erforderlich sind.
Mehr lesen: Der jüngste Datenverstoß bei Good Smile Company ist ein weiteres Beispiel für den unbefugten Zugriff auf Kundeninformationen und die Schwierigkeiten bei der Feststellung, welche Daten offengelegt wurden.