Ketika Sistem Pemesanan Tiket Diretas, Celahnya Bisa Berada di Pihak Ketiga

Proses pemesanan tiket pesawat melibatkan banyak sistem yang tidak terlihat oleh penumpang. Di balik email konfirmasi tiket, terdapat platform reservasi, sistem layanan penumpang dan berbagai integrasi yang membantu maskapai mengelola pemesanan, tiket serta proses check-in.

Infrastruktur yang saling terhubung ini menjadi perhatian setelah muncul insiden keamanan siber yang melibatkan Amadeus, penyedia teknologi perjalanan global.

Pada 4 November 2026, Reuters melaporkan bahwa Singapore Airlines menyebut sekitar 46.000 catatan pemesanan berpotensi terdampak akses tidak sah terhadap data di platform Amadeus. Informasi yang diakses dilaporkan mencakup nama pelanggan, nomor referensi pemesanan, rencana perjalanan dan kelas penerbangan. Pada sekitar 620 catatan, informasi tambahan seperti alamat email, nomor telepon, dokumen perjalanan dan nomor keanggotaan KrisFlyer juga berpotensi terekspos. [1][2]

Singapore Airlines menyatakan bahwa sistem IT internalnya tidak diretas. Maskapai tersebut juga menyampaikan bahwa tidak ada pemesanan yang diubah dan informasi rekening bank maupun kartu kredit tidak terekspos.

Sebelumnya, sejumlah maskapai lain juga melaporkan potensi dampak dari insiden yang melibatkan penyedia teknologi yang sama. Japan Airlines menyebut sekitar 92.000 pelanggan berpotensi terdampak, sementara Cathay Pacific melaporkan sekitar 53.000 pemesanan. ANA dan Malaysia Airlines juga telah menyampaikan adanya potensi paparan data pelanggan. [3][4][5]

Angka tersebut menggunakan kategori data dan satuan yang berbeda, sehingga tidak tepat jika dijumlahkan sebagai satu angka total penumpang terdampak.

Risiko di balik ekosistem pemesanan yang saling terhubung

Maskapai bergantung pada penyedia teknologi eksternal untuk menjalankan berbagai fungsi penting. Platform reservasi dapat memproses nama penumpang, tanggal perjalanan, detail penerbangan dan nomor referensi pemesanan. Sistem tersebut juga harus bertukar data dengan aplikasi dan proses operasional maskapai.

Kondisi ini menimbulkan pertanyaan mengenai keamanan pihak ketiga: seberapa baik organisasi melindungi data ketika pemrosesannya dilakukan di luar jaringan internal?

Perusahaan dapat memiliki pengamanan internal yang baik, tetapi tetap menghadapi risiko dari lingkungan teknologi milik mitra atau pemasok. Karena itu, evaluasi vendor perlu mencakup aliran data, hak akses, autentikasi, integrasi sistem dan prosedur pelaporan insiden.

Nomor referensi pemesanan dan detail perjalanan juga merupakan informasi sensitif. Meski data pembayaran atau kata sandi tidak terekspos, informasi tersebut dapat dimanfaatkan untuk membuat pesan phishing yang meyakinkan, menyamar sebagai penyedia layanan atau mengirimkan pemberitahuan perjalanan palsu.

Apa yang perlu dilakukan organisasi?

Pengelolaan keamanan pihak ketiga perlu mencakup beberapa langkah berikut:

• Petakan aliran data: Ketahui informasi apa yang dibagikan kepada setiap penyedia dan di mana data tersebut diproses.

• Evaluasi hak akses: Batasi akses mitra hanya pada sistem dan informasi yang diperlukan.

• Uji permukaan serangan digital: Evaluasi aplikasi, antarmuka dan jalur akses yang masuk dalam ruang lingkup pengujian resmi.

• Pantau risiko pemasok: Tetapkan persyaratan keamanan, jalur pelaporan insiden dan evaluasi berkala.

• Siapkan respons insiden: Susun prosedur komunikasi pelanggan dan penanganan jika terjadi paparan data.

Peran AI-assisted penetration testing

Evaluasi keamanan pihak ketiga membutuhkan bukti teknis mengenai bagaimana sebuah lingkungan digital dapat dieksploitasi. Peninjauan kebijakan dan dokumen kepatuhan tetap diperlukan, tetapi organisasi juga perlu menguji aplikasi, antarmuka dan jalur akses yang menghubungkan sistem mereka.

Di sinilah Bronyx AI, platform pengujian penetrasi otonom berbasis AI dari ITSEC, dapat mendukung pengujian keamanan yang telah mendapatkan otorisasi. Platform ini membantu organisasi mengevaluasi permukaan serangan digital dan mengidentifikasi kelemahan yang mungkin tidak terlihat dalam pemeriksaan rutin.

Pengujian berbasis AI tidak menggantikan proses evaluasi vendor, tata kelola akses atau penanganan insiden. Pendekatan ini menambahkan lapisan pengujian teknis agar organisasi dapat memahami eksposur dan memvalidasi pengendalian keamanannya.

Insiden Amadeus menjadi pengingat bahwa batas keamanan sebuah perusahaan tidak berhenti pada infrastruktur miliknya sendiri. Setiap penyedia yang terhubung dengan data sensitif atau proses bisnis kritis perlu mendapat perhatian yang sama.

Kenali eksposur Anda. Uji pertahanan Anda. Amankan ekosistem digital Anda.

Pelajari lebih lanjut tentang Bronyx AI dan kapabilitas pengujian penetrasi berbasis AI dari ITSEC.

Referensi

1. Reuters, Singapore Airlines says 46,000 booking records affected by Amadeus breach, 4 November 2026. Baca artikel

2. Channel News Asia, About 46,000 SIA booking records accessed in data breach involving travel tech company Amadeus, 3 November 2026. Baca artikel

3. Japan Airlines, Regarding Unauthorized Access to Amadeus Passenger Service System and Our Response, 30 Oktober 2026. Baca pernyataan

4. Reuters, Cathay Pacific says Amadeus breach affected 53,000 bookings, 30 Oktober 2026. Baca artikel

5. Malaysia Airlines, Cybersecurity Incident Involving Third-Party Technology Provider, 31 Oktober 2026. Baca pernyataan