Il viaggio continua, le informazioni seguono un’altra traiettoria
Il caso Amadeus mi interessa perché rende visibile una condizione che una lettura centrata sull’interruzione dei servizi rischierebbe di trascurare: mentre gli aerei continuano a operare, le informazioni che descrivono il viaggio possono essere state consultate attraverso una relazione di fiducia esterna alla compagnia. Nelle comunicazioni di JAL, Cathay Pacific e Malaysia Airlines, il punto comune è il fornitore della tecnologia di prenotazione, mentre i perimetri dichiarati rimangono differenti; proprio questa differenza impone di ricostruire l’esposizione senza trasformare la presenza di un’infrastruttura condivisa nella prova che tutti i suoi clienti siano stati compromessi.
Nel comunicato consultato, Malaysia Airlines segnala il possibile coinvolgimento di informazioni processate attraverso Amadeus fra agosto 2023 e settembre 2026, precisando che i propri sistemi informatici non sono stati compromessi e che non risultano evidenze di accesso a informazioni finanziarie. La compagnia continua a verificare l’impatto, senza fornire un numero di persone interessate: una delimitazione ancora aperta, che va mantenuta tale anche quando altre imprese hanno già quantificato il proprio perimetro.
Le quantità descrivono perimetri, non un totale disponibile
JAL, nel testo datato 30 ottobre, riferisce di avere ricevuto la comunicazione del fornitore il 23 ottobre e identifica tracce di accesso esterno fra il 10 agosto 2023 e il 23 settembre 2026. Il dato riguarda circa 92.000 persone: per circa 90.000, informazioni come nome, codice di prenotazione, data e tratta; per circa 2.000, anche ulteriori elementi, fra cui recapiti e numero di passaporto. La compagnia dichiara che numeri di carta e password non sono stati compromessi, che non sono emerse evidenze di utilizzo improprio e che le operazioni di volo non hanno subito conseguenze.
Cathay Pacific indica invece circa 53.000 prenotazioni, sulla base dei dati ricevuti da Amadeus, e riferisce un accesso mediante credenziali assegnate a un account di sistema. Sommare quelle prenotazioni alle persone indicate da JAL produrrebbe un numero privo di significato, poiché le unità differiscono e non conosciamo eventuali sovrapposizioni. Anche le comunicazioni delle compagnie, pur documentando distinti perimetri aziendali, rimandano al fornitore per elementi della ricostruzione e non costituiscono altrettante verifiche forensi indipendenti.
Il potere di consultare che attraversa la filiera
Il riferimento alle credenziali, che Cathay accompagna alla notizia di un cambio delle password e di un rafforzamento del monitoraggio presso Amadeus, consente di porre una domanda sui privilegi effettivamente esercitabili; non permette però di identificare da solo la vulnerabilità iniziale, il modo in cui gli accessi siano stati ottenuti o l’intera sequenza dell’attacco. Non ricondurrei quindi il caso a un difetto tecnico specifico senza una corrispondenza documentata fra quel difetto, gli account coinvolti e le interrogazioni osservate.
A mio giudizio, la dipendenza rilevante riguarda la possibilità di conoscere il viaggio attraverso un servizio utilizzato da soggetti diversi. Per un’impresa che organizza trasferte, scegliere compagnie differenti può lasciare comune una parte dell’infrastruttura informativa, benché ciò non dimostri che ogni itinerario aziendale sia stato esposto. La diversificazione commerciale acquista valore protettivo solo nella misura in cui siano comprese anche le relazioni sottostanti, che restano spesso invisibili a chi acquista il biglietto.
La rilevanza internazionale e i suoi limiti
La dimensione internazionale emerge dai perimetri dichiarati da compagnie di più giurisdizioni, collegate allo stesso fornitore; la rilevanza strategica che vi riconosco riguarda la concentrazione delle informazioni sulla mobilità. Nome, itinerario e recapiti, qualora disponibili a un soggetto ostile, potrebbero rendere più credibile una falsa richiesta di assistenza o pagamento. Si tratta di uno scenario condizionale: le fonti qui esaminate non dimostrano frodi riuscite, attività di spionaggio, un mandante statale o un movente geopolitico.
Il fatto che Cathay dichiari sistemi e operazioni indenni delimita correttamente le conseguenze osservate, senza esaurire il problema della riservatezza. Allo stesso modo, l’assenza di abusi identificati può riflettere un contenimento efficace, ma richiede di conoscere l’ampiezza dei controlli prima di diventare una conclusione generale. La valutazione cambierebbe se emergessero usi impropri documentati, ulteriori categorie di dati o evidenze che restringano in modo verificabile gli accessi effettivamente avvenuti.
Le verifiche che rendono governabile la dipendenza
Per le organizzazioni coinvolte, chiederei al responsabile della sicurezza e al referente per la protezione dei dati una ricostruzione che colleghi account, categorie di informazioni, intervalli temporali e registri disponibili, indicando separatamente ciò che risulta consultato e ciò che rimane soltanto potenzialmente accessibile. Il risultato utile è un perimetro motivato, sul quale fondare le comunicazioni e misurare le incertezze residue, insieme alle evidenze delle revoche e dei controlli applicati dal fornitore.
Il responsabile delle trasferte dovrebbe inoltre concordare con l’assistenza e le agenzie una procedura per verificare le richieste inattese attraverso recapiti già conosciuti, evitando che dettagli autentici della prenotazione siano trattati come prova dell’identità dell’interlocutore. Se il contenimento risultasse completo e non emergessero ulteriori abusi, gli effetti potrebbero rimanere circoscritti all’esposizione e alla gestione delle notifiche; anche in questo scenario, conservare la distinzione fra servizio operativo, accesso revocato e informazione già conosciuta da altri renderebbe più solida la decisione di continuare a utilizzare la filiera.