Un acceso ilegal a sistemas del proveedor tecnológico Amadeus expuso 46.000 registros de reservas de Singapore Airlines (SIA), según informó The Straits Times el 3 de noviembre de 2025. El incidente no involucró infraestructura directa de la aerolínea, sino a un tercero que gestiona datos de pasajeros en su nombre.
Amadeus, uno de los mayores proveedores globales de software de gestión de reservas para la industria aérea, fue el punto de entrada del acceso no autorizado. Singapore Airlines confirmó que los registros comprometidos corresponden a datos de reservas, aunque al momento de la publicación no se había especificado con precisión qué campos de información personal estaban incluidos en cada registro —nombre, itinerario, número de pasaporte o datos de pago— más allá de la cantidad total afectada. La aerolínea indicó que tomó conocimiento del incidente a través del propio proveedor, según se informó.
Datos confirmados al cierre de esta nota
- Registros de reservas accedidos de forma ilegal: 46.000
- Aerolínea afectada: Singapore Airlines (SIA)
- Proveedor comprometido: Amadeus, empresa tecnológica de origen europeo con operaciones globales
- Fecha de publicación del incidente: 3 de noviembre de 2025
- Tipo de dato expuesto: registros de reservas (contenido exacto no confirmado públicamente)
Qué se sabe y qué falta confirmar
Lo confirmado es que el vector de compromiso fue el entorno de Amadeus, no los sistemas propios de SIA. Lo que permanece sin confirmar incluye: si hubo exfiltración efectiva de datos o solo acceso; qué campos específicos de información personal estaban expuestos; si otros clientes de Amadeus en la región Asia-Pacífico o en América Latina resultaron afectados; y si se notificó a las autoridades de protección de datos competentes en Singapur —la Personal Data Protection Commission (PDPC)— dentro de los plazos que establece la Personal Data Protection Act (PDPA) enmendada en 2021, que fija tres días hábiles para notificación de brechas significativas. Amadeus tiene presencia operativa en varios países latinoamericanos donde opera como proveedor de aerolíneas locales y regionales, por lo que no puede descartarse que la superficie de exposición sea más amplia.
El incidente recuerda un patrón recurrente en la industria aérea: las brechas más críticas no siempre ocurren en la aerolínea sino en los sistemas de gestión de distribución y reservas que concentran datos de millones de pasajeros de múltiples operadores. En América Latina, aerolíneas que utilizan plataformas de proveedores globales como Amadeus o Sabre —y que procesan datos de ciudadanos sujetos a la LGPD brasileña, la Ley 25.326 argentina o la Ley 1581 colombiana— quedan expuestas a riesgos de cumplimiento derivados de incidentes que ocurren fuera de su perímetro tecnológico directo. La LGPD, en particular, establece responsabilidad del controlador aun cuando el incidente se origine en un operador (equivalente al procesador en GDPR), lo que obliga a las aerolíneas a revisar sus contratos de procesamiento de datos con proveedores como Amadeus.
El próximo hito a seguir es la eventual notificación formal de Amadeus y SIA ante la PDPC de Singapur, cuyo plazo de tres días hábiles desde el conocimiento del incidente ya podría estar corriendo al momento de esta publicación.
