ANA Sebut 37.800 Pelanggan Mungkin Terdampak Kebocoran Data Amadeus, Termasuk 1.700 Nomor Paspor

Detail reservasi terungkap melalui pemasok teknologi maskapai

All Nippon Airways mengatakan pada 30 Oktober 2026 bahwa informasi reservasi milik sekitar 37.800 pelanggan mungkin terungkap setelah sistem yang dioperasikan kontraktor teknologinya di Spanyol, Amadeus IT Group, diakses tanpa izin. Informasi sekitar 1.700 pelanggan juga mencakup nomor paspor dan data pribadi lainnya yang menunjukkan tanda-tanda telah diakses dari luar sistem.

ANA mengatakan Amadeus mendeteksi akses tanpa izin tersebut pada 24 September, tetapi maskapai baru menerima laporan dari kontraktor itu pada 20 Oktober, 26 hari kemudian. ANA meminta Amadeus menyelidiki paparan data setelah mengetahui pada 16 Oktober bahwa maskapai lain yang menggunakan pemasok tersebut turut terdampak.

Maskapai mengidentifikasi dua kelompok pelanggan terdampak. Informasi reservasi dasar milik sekitar 36.100 pelanggan terungkap, termasuk nama dan detail perjalanan. Kelompok sekitar 1.700 pelanggan terdampak oleh rangkaian informasi yang lebih luas, termasuk detail kontak, nomor paspor, dan nomor frequent flyer. ANA mengatakan informasi kartu kredit dan kata sandi tidak termasuk dalam data terdampak.

ANA berencana mulai menghubungi pelanggan terdampak pada pekan pertama November. Peringatan langsungnya kepada penumpang berkaitan dengan email, panggilan telepon, situs web, dan iklan media sosial mencurigakan yang berpura-pura berasal dari ANA Group.

Insiden ini berdampak lebih luas dari satu maskapai. Japan Airlines dan Japan Transocean Air sebelumnya telah mengumumkan bahwa sekitar 92.000 pelanggan berpotensi terdampak akses tanpa izin yang melibatkan pemasok yang sama. Maskapai Jepang lainnya masih memeriksa paparan data mereka, sementara nomor reservasi milik pelanggan Korean Air dan Asiana Airlines juga dilaporkan terungkap.

Informasi apa saja yang terlibat?

Kelompok terdampak terbesar ANA, sekitar 36.100 orang, memiliki lima jenis informasi yang menunjukkan tanda-tanda telah diakses dari luar: nama, nomor reservasi, tanggal perjalanan, segmen penerbangan, dan kelas kabin. Segmen penerbangan adalah salah satu bagian dari perjalanan, seperti penerbangan dari Tokyo ke Sapporo. Kelas kabin menunjukkan kategori perjalanan, seperti ekonomi atau bisnis.

Kelompok yang lebih kecil, sekitar 1.700 pelanggan, terdampak oleh detail yang sama, ditambah alamat email, nomor telepon, nomor paspor, kewarganegaraan, nomor frequent flyer, nama maskapai, nomor penerbangan, nomor tiket, dan nomor kursi.

Dengan demikian, nomor paspor termasuk dalam informasi terdampak milik sekitar 4,5% dari 37.800 pelanggan yang diidentifikasi ANA. Sekitar 95,5% lainnya termasuk dalam kelompok yang informasi terungkapnya terbatas pada lima data reservasi dasar.

ANA menyebutkan adanya bukti bahwa informasi reservasi telah dilihat dari luar sistem. Dalam pengumumannya, ANA belum memastikan apakah informasi itu juga disalin keluar dari sistem atau kemudian disalahgunakan. Kekhawatiran praktis bagi penumpang adalah bahwa data yang terdampak dapat menghubungkan identitas seseorang dengan perjalanan tertentu.

Reservasi mana yang termasuk dalam periode terdampak?

ANA mengidentifikasi sejumlah pelanggan yang membuat reservasi antara 10 Agustus 2023 dan 23 September 2026 sebagai pihak terdampak. Pengungkapan ini menyangkut sebagian reservasi dalam rentang lebih dari tiga tahun tersebut, bukan setiap penumpang yang memesan pada tanggal-tanggal itu.

Periode tersebut juga disebut mencakup penerbangan yang dioperasikan ANA dari 10 Agustus 2023 hingga 23 September 2026. Sebagian besar uraian terperinci tentang pengumuman itu menyebutnya sebagai periode saat reservasi dibuat. Pelanggan sebaiknya merujuk pada pemberitahuan pribadi dari ANA untuk memastikan apakah reservasi mereka termasuk.

Data terdampak memuat informasi yang diberikan atau dihasilkan penumpang saat mengatur perjalanan. Nomor reservasi mengidentifikasi pemesanan, sedangkan nomor tiket mengidentifikasi dokumen perjalanan yang diterbitkan. Detail tersebut dapat tetap tersimpan di sistem layanan penumpang setelah pembelian awal, yang membantu menjelaskan mengapa pengungkapan ini mencakup reservasi sejak 2023.

Bagaimana insiden ini terungkap dan diumumkan

ANA pertama kali mengungkapkan insiden ini kepada publik pada 29 Oktober, saat masih menyelidiki jumlah pelanggan dan informasi yang terlibat. Keesokan harinya, ANA mengumumkan perkiraan 37.800 pelanggan terdampak dan dua kategori data yang terungkap.

Rangkaian peristiwa ini bermula lebih dari sebulan sebelum pengumuman publik tersebut:

• 24 September 2026: Amadeus mendeteksi akses tanpa izin ke informasi reservasi maskapai. ANA mengatakan belum menerima laporan saat itu.
• 16 Oktober: ANA mengetahui insiden yang berdampak pada maskapai lain pengguna Amadeus dan meminta pemasok tersebut memeriksa informasi reservasi penerbangan ANA.
• 20 Oktober: ANA menerima laporan dari Amadeus dan melaporkan masalah tersebut kepada Komisi Perlindungan Informasi Pribadi Jepang serta lembaga terkait lainnya.
• 29 Oktober: ANA mengungkapkan adanya tanda-tanda bahwa sebagian informasi reservasi pelanggan telah diakses dari luar.
• 30 Oktober: ANA mengidentifikasi sekitar 37.800 pelanggan yang berpotensi terdampak dan merinci informasi yang terlibat.
• Pekan pertama November: ANA berencana mulai menghubungi pelanggan terdampak secara bertahap.

Urutan tanggal tersebut menunjukkan bahwa penyelidikan ANA dimulai sebelum kontraktor melaporkan insiden kepada maskapai. Amadeus mendeteksi insiden pada 24 September, sementara ANA meminta pemeriksaan paparan datanya sendiri 22 hari kemudian. Pemasok tersebut lalu melapor kepada ANA empat hari setelah permintaan itu.

ANA dan Amadeus terus memeriksa informasi pelanggan setelah 20 Oktober. Komisi Perlindungan Informasi Pribadi Jepang, yang menerima laporan ANA, adalah otoritas yang bertanggung jawab mengawasi perlindungan informasi pribadi.

Langkah yang dilakukan Amadeus

Amadeus menyediakan sistem layanan penumpang yang terlibat dalam insiden ini. Maskapai menggunakan sistem semacam itu untuk mengelola berbagai fungsi, termasuk reservasi dan penerbitan tiket, sehingga informasi pelanggan tersimpan pada pemasok teknologi khusus sebagai bagian dari operasional perjalanan sehari-hari.

ANA mengatakan telah memastikan kepada Amadeus bahwa kredensial yang terkait dengan akses tanpa izin telah dinonaktifkan dan pemantauan diperketat. Kredensial adalah identitas digital atau detail akses yang memungkinkan seseorang atau sistem masuk ke suatu layanan. Menonaktifkannya menghilangkan kemampuan untuk terus menggunakan detail akses tersebut.

Amadeus juga mengatakan tidak ada bukti kerusakan akibat ransomware, perubahan atau penghapusan data, maupun gangguan pada layanan yang disediakannya. Ransomware adalah perangkat lunak berbahaya yang digunakan untuk mengunci informasi atau sistem dan meminta pembayaran. Dalam kasus ini, respons yang dijelaskan ANA berfokus pada akses tanpa izin ke catatan pelanggan dan penghapusan kredensial akses terkait.

Langkah-langkah tersebut menangani akses dan pemantauan di pihak pemasok. Tugas ANA secara paralel adalah mengidentifikasi orang-orang yang informasinya terlibat dan memberi tahu mereka detail apa saja yang terdampak.

Maskapai lain menghadapi insiden yang sama pada pemasok tersebut

Japan Airlines dan Japan Transocean Air mengumumkan pada 28 Oktober bahwa informasi reservasi milik sekitar 92.000 pelanggan menunjukkan tanda-tanda telah diakses dari luar melalui Amadeus. Sekitar 2.000 pelanggan di antaranya juga berpotensi mengalami paparan nomor paspor dan detail lainnya. Kedua maskapai menerima laporan dari Amadeus pada 23 Oktober.

Jumlah 92.000 pelanggan yang diidentifikasi JAL dan JTA sekitar 2,4 kali angka ANA, yakni 37.800. Nomor paspor dan detail tambahan lainnya terlibat pada sekitar 2,2% kelompok pelanggan JAL dan JTA, dibandingkan sekitar 4,5% pada kelompok ANA.

Air Do, Solaseed Air, dan StarFlyer, yang menggunakan sistem Amadeus melalui ANA, mengatakan diberi tahu ANA pada 29 Oktober bahwa informasi pribadi mereka menunjukkan tanda-tanda telah diakses dari luar. Ketiganya bekerja sama dengan ANA untuk memastikan cakupan dampaknya. Nomor reservasi pelanggan Korean Air dan Asiana Airlines juga terungkap, sehingga insiden ini berdampak di luar Jepang.

JAL dan JTA mengatakan telah memastikan tidak ada penyalahgunaan informasi terdampak maupun dampak pada operasional penerbangan. Di antara maskapai-maskapai tersebut, pemasok yang sama menjadi titik paparan bersama, sementara setiap maskapai harus mengidentifikasi pelanggan terdampaknya sendiri dan menangani pemberitahuan.

Mengapa ANA memperingatkan soal penyamaran identitas

ANA mengimbau pelanggan untuk mewaspadai pesan dan panggilan yang secara keliru mengaku mewakili grup maskapai tersebut. Informasi reservasi dapat membuat upaya penipuan tampak lebih meyakinkan karena penelepon atau pengirim email mungkin mengetahui tanggal perjalanan, tujuan, atau nomor penerbangan yang sebenarnya.

Misalnya, pesan palsu dapat menyatakan bahwa pemesanan yang sah memerlukan pembayaran segera atau bahwa pengembalian dana mengharuskan penumpang memasukkan informasi keuangan. Phishing adalah praktik menyamar sebagai organisasi tepercaya untuk membujuk seseorang agar mengungkapkan informasi atau mengunjungi situs web palsu.

Penumpang yang menerima pesan tak terduga mengenai pemesanan dapat memeriksanya melalui situs web atau aplikasi ANA yang biasa digunakan, alih-alih mengikuti tautan atau menghubungi nomor telepon dalam pesan tersebut. Permintaan kata sandi, kode verifikasi, informasi kartu, atau foto paspor patut diwaspadai, terutama jika disampaikan melalui kontak yang tidak diminta.

Pemberitahuan pribadi yang direncanakan ANA akan memberi pelanggan terdampak dasar yang lebih jelas untuk bertindak dibandingkan hanya mengandalkan rentang waktu reservasi secara umum. Bagi orang-orang dalam kelompok sekitar 1.700 pelanggan, kekhawatirannya mencakup detail kontak dan identitas, selain rencana perjalanan. Bagi kelompok yang lebih besar, informasi yang terungkap tetap menghubungkan nama seseorang dengan sebuah perjalanan.

Pengungkapan lain menambah kekhawatiran Jepang soal keamanan data

Kementerian Luar Negeri Jepang juga mengatakan pada 30 Oktober bahwa akses tanpa izin mungkin telah mengungkap sekitar 3.600 catatan yang berisi informasi pribadi, termasuk nama dan alamat email. Sekitar 900 catatan milik orang di luar kementerian. Lingkungan yang terdampak adalah jaringan yang terhubung dengan sistem eksternal; kementerian mengatakan telah memastikan tidak ada akses tanpa izin ke jaringan tertutup terpisah yang menangani informasi sangat rahasia.

Ryohin Keikaku, operator Muji, mengungkapkan bahwa hingga 27,26 juta catatan pelanggan mungkin telah terpapar akibat akses tanpa izin ke aplikasi resminya. Data yang berpotensi terdampak mencakup alamat email, tanggal lahir, dan jenis kelamin, termasuk informasi terkait orang-orang yang telah menghapus akun dari aplikasi. Nama dan informasi kartu kredit tidak termasuk dalam data terdampak.

Muji mengatakan telah memastikan tidak ada penyalahgunaan, akan menghubungi pelanggan terdampak satu per satu, serta terus mengoperasikan aplikasi dan toko daringnya secara normal. Perusahaan itu juga memperingatkan pelanggan agar tidak mengeklik tautan dalam email mencurigakan. Pengungkapan oleh maskapai, kementerian, dan peritel tersebut melibatkan informasi dan layanan yang berbeda, tetapi semuanya membuat orang-orang terdampak memerlukan pemberitahuan yang jelas mengenai detail pribadi apa saja yang terungkap.

Poin Utama

• ANA mengidentifikasi sekitar 37.800 pelanggan yang informasi reservasinya mungkin terpapar akibat akses tanpa izin di Amadeus.
• Informasi reservasi dasar milik sekitar 36.100 pelanggan terlibat; sekitar 1.700 pelanggan juga terdampak oleh nomor paspor, detail kontak, dan informasi lainnya.
• ANA mengatakan informasi kartu kredit dan kata sandi tidak termasuk dalam data terdampak.
• Amadeus mendeteksi insiden pada 24 September 2026. ANA menerima laporannya pada 20 Oktober dan merinci pelanggan terdampak pada 30 Oktober.
• Amadeus menonaktifkan kredensial terkait dan memperketat pemantauan. Perusahaan melaporkan tidak ada gangguan layanan.
• ANA berencana mulai mengirimkan pemberitahuan pribadi pada pekan pertama November dan memperingatkan soal upaya penyamaran identitas.
• JAL dan JTA secara terpisah mengidentifikasi sekitar 92.000 pelanggan terdampak, sementara maskapai lain masih memeriksa paparan data mereka.