Cybernapadi u turizmu: primjer curenja podataka iz Amadeusa i Expedije otvara novu prijetnju
Sigurnosni incidenti povezani s Amadeusom i Expedijom otvaraju pitanje koliko su rezervacijski podaci putnika zaštićeni kada prolaze kroz mrežu tehnoloških dobavljača. Umjetna inteligencija može dodatno pojačati prijevare koje se oslanjaju na takve podatke. Što turističke agencije trebaju provjeriti?
Rezervacija putovanja danas rijetko ostaje unutar jednog sustava. Podaci putnika prolaze kroz aviokompanije, GDS-ove, hotelske platforme, online rezervacijske sustave, CRM aplikacije i vanjske tehnološke partnere. Pritom sigurnosni problem kod jednog sudionika može pogoditi klijente drugih kompanija, iako njihove vlastite mreže nisu napadnute.
Dva aktualna slučaja ilustriraju različite vrste izloženosti: neovlašteni pristup rezervacijskim podacima u Amadeusovu okruženju i napad preko vanjskog tehnološkog dobavljača koji je, prema potvrdi Expedia Groupa, omogućio pristup njezinim sustavima. To nisu dokazi da je AI korišten u tim incidentima. AI je zaseban, rastući čimbenik koji može povećati uvjerljivost i razmjere naknadnih prijevara.
Što je potvrđeno u slučajevima Amadeusa i Expedije?
Podaci o rezervacijama
Aviokompanije su prijavile neovlašteni pristup podacima rezervacija pohranjenima u Amadeusovu sustavu. Među pogođenima su Cathay Pacific, Singapore Airlines i Japan Airlines.
Potvrđeno: imena, PNR oznake i detalji putovanja; kod manjeg dijela zapisa i dodatni osobni podaci. Nema dokaza o pristupu platnim podacima u navedenim objavama.
Napad preko dobavljača
Expedia je potvrdila da su napadači preko kompromitiranog pružatelja podatkovne tehnologije došli do njezinih sustava.
Još nije potvrđeno: opseg eventualno izloženih podataka, identitet dobavljača i veza s drugim javno opisanim incidentima.
Cathay Pacific objavio je da je zahvaćeno približno 53.000 rezervacija, a Singapore Airlines oko 46.000 rezervacijskih zapisa. Japan Airlines prijavio je podatke približno 92.000 putnika. U slučaju Cathay Pacifica neovlašteni pristup preko sistemskih pristupnih podataka, prema obavijesti aviokompanije, obuhvaćao je razdoblje od kolovoza 2023. do rujna 2026. Pritom treba razlikovati kompromitiranje konkretnog rezervacijskog okruženja od tvrdnje da je ugrožen cjelokupni Amadeusov GDS — za takav širi zaključak nema potvrde.
Kod Expedije je posebno važna opasnost od dobavljača kojem je već dodijeljen pristup. Ako se njegove vjerodajnice kompromitiraju ili stare ovlasti ostanu aktivne, napadač može naslijediti pristup drugoj tvrtki. Istraživanja povezana s platformom Qubole predstavljaju koristan primjer takvog obrasca, ali javno nije potvrđeno da je taj slučaj izravno povezan s Expedijinim incidentom.
Kako jedan kompromitirani pristup postaje problem za putnika?
Sljedeći dijagram prikazuje mogući lanac rizika, a ne rekonstruirani tijek nekog od navedenih incidenata. Napad ne mora proći kroz sve prikazane korake.
Napomena: shematski scenarij mogućeg napada. Ne implicira da su se sve prikazane radnje dogodile u incidentima Amadeusa ili Expedije.
Čak i bez broja kreditne kartice, kombinacija imena, rezervacijske oznake i datuma putovanja može biti vrijedna za kriminalce. Poruka koja navodi stvaran broj leta i traži hitnu potvrdu rezervacije djeluje mnogo uvjerljivije od generičkog neželjenog e-maila. Ovisno o zaštitama pojedinog prijevoznika, PNR i prezime mogu otkriti dodatne detalje rezervacije ili omogućiti određene radnje.
Gdje u cijelu priču ulazi umjetna inteligencija?
Generativni AI može pomoći u sastavljanju gramatički uvjerljivih poruka na različitim jezicima, prilagođavanju prijevara konkretnom putovanju, oponašanju glasova te automatiziranoj analizi slabosti. ENISA u svojem pregledu prijetnji za 2026. upozorava da će novi AI modeli sve češće služiti kao podrška zlonamjernim operacijama. To ne znači da je AI uzrok potvrđenih incidenata u Amadeusu i Expediji, već da ukradeni podaci mogu postati još korisniji za idući korak napada.
„Vaš let za Frankfurt sutra je promijenjen. Potvrdite rezervaciju AB12CD i ažurirajte način plaćanja kako biste zadržali kartu.”
Točan itinerar i PNR mogu povećati uvjerljivost. Promjenu plaćanja treba provjeriti kroz ranije poznat službeni kanal, a ne preko poveznice iz poruke.
Sedam konkretnih provjera za turističke agencije
Pravila o zaštiti osobnih podataka također ostaju relevantna. GDPR u određenim slučajevima zahtijeva prijavu povrede nadležnom tijelu, u pravilu najkasnije 72 sata od saznanja za povredu kada je vjerojatan rizik za prava i slobode pojedinaca. Kod visokog rizika može biti potrebno obavijestiti i pogođene osobe. Konkretne obveze ovise o okolnostima i ulozi agencije u obradi podataka.
Sigurnost podataka treba postati kriterij pri izboru dobavljača
Turističke agencije tradicionalno uspoređuju cijene, sadržaj, podršku i funkcionalnosti GDS-a, hotelskih platformi i booking enginea. Sigurnosna pitanja zaslužuju istu pažnju: tko ima pristup rezervacijama, koliko dugo se čuvaju podaci, kako se upravlja ovlastima vanjskih partnera i koliko brzo dobavljač obavještava o incidentu?
Najpraktičniji početak nije kupnja još jednog alata, nego pregled računa, prava pristupa, integracija i postupaka za plaćanja. U agenciji koja svakodnevno upravlja osjetljivim putničkim podacima i jedna zanemarena vjerodajnica može stvoriti problem mnogo veći od samog tehničkog incidenta.
