Japan Airlines notifica 92 mil clientes sobre vazamento de dados em fornecedor terceirizado

A Japan Airlines está notificando 92 mil clientes sobre um vazamento de dados ocorrido em um fornecedor terceirizado, responsável pelos sistemas de reservas, emissão de bilhetes e check-in da companhia. Ou seja, a falha não foi apontada na infraestrutura da própria JAL, e sim em quem opera parte crítica da jornada do passageiro.

Para a maioria dos afetados, os atacantes obtiveram apenas nomes, códigos de reserva e informações de voo. Para cerca de 2 mil clientes, o vazamento também incluiu números de passaporte, números do programa de fidelidade, e-mails e telefones. Essa combinação é a mais sensível: permite phishing direcionado, com dados reais de viagem, e abre risco de fraude de identidade. A fonte também situa o caso em um período de vários incidentes cibernéticos no Japão.

O caso da JAL se soma a outros incidentes japoneses que o CEVIU cobriu em 2026. Em 1 de julho de 2026, o CEVIU noticiou "Vazamento na Aflac Japan expõe dados de 4,38 milhões de clientes e agentes", e em 20 de agosto de 2026, "Vazamento de dados na Sakura Internet afeta 1,36 milhão de usuários após ataque cibernético". São empresas e eventos distintos, sem relação direta comprovada com o da JAL. Já o padrão de ataque via fornecedor aparece em 14 de agosto de 2026, quando o CEVIU noticiou "Vazamento na Trezor Expõe Dados de 14 Mil Clientes Após Ataque a Fornecedor", por meio da parceira logística ShipMonk.

Para quem opera segurança em empresas de viagem e aviação, a leitura é que o risco de terceiros pesa tanto quanto o perímetro próprio. Para quem tem fornecedores com acesso a dados de passageiros ou clientes, vale revisar quais campos eles realmente precisam guardar, como passaporte, e como o incidente é comunicado a você. Para os clientes afetados, o cuidado prático é desconfiar de mensagens que citem código de reserva ou voo.