Faille Amadeus : ce que les compagnies aériennes ont révélé jusqu'ici

The Straits Times a rapporté le 3 novembre que les 46 000 dossiers de Singapore Airlines étaient liés à la faille Amadeus. C'est le chiffre le plus récent d'une affaire qui monte depuis plusieurs jours. C'est aussi le signe le plus clair qu'il ne s'agit pas d'un incident propre à une seule compagnie, mais d'un problème de fournisseur partagé.

Amadeus exploite une plateforme de réservation utilisée par des centaines de transporteurs. Plusieurs rapports indiquent qu'une faille dans cette plateforme est restée inaperçue pendant une longue période. shattered.io a décrit l'exposition comme couvrant 38 mois de données de compagnies aériennes. PYOK, cité dans la couverture agrégée, a qualifié la violation d'affaire de trois ans. Amadeus a depuis corrigé la faille, a rapporté NST Online le 2 novembre. Il manque encore un récit unique faisant autorité sur le nombre de passagers touchés et sur ce qui a été exactement prélevé. Chaque compagnie a communiqué selon son propre calendrier, avec ses propres chiffres. Certaines ont insisté sur le fait que leurs propres systèmes n'avaient pas été touchés.

Cathay Pacific et les 53 000 réservations

Cathay Pacific a été la première parmi les grandes compagnies à avancer un chiffre : 53 000 réservations compromises, selon le Bangkok Post du 2 novembre. IDNFinancials et Aviation A2Z ont également rapporté ce chiffre. Cette divulgation a présenté l'incident comme une cyberattaque contre le fournisseur plutôt que contre la compagnie. Cela compte pour la façon dont les passagers doivent lire les notifications.

Malaysia Airlines a adopté une position publique différente. La compagnie a déclaré que ses systèmes informatiques n'avaient pas été affectés par la faille Amadeus, a rapporté PenangToday le 2 novembre. Elle a reconnu que des clients pourraient tout de même être concernés, selon le Bangkok Post. The Star a cité la compagnie affirmant que son propre système n'avait pas été compromis malgré la violation de cybersécurité du fournisseur.

Les deux déclarations ne sont pas contradictoires, mais elles sont faciles à mal interpréter. L'infrastructure propre d'une compagnie peut être saine alors que la couche de réservation qu'elle loue à un fournisseur ne l'est pas. Qantas, de son côté, enquêtait encore sur une éventuelle exposition de données de réservation, a rapporté Airways Magazine le 2 novembre. News.com.au a classé Qantas parmi plusieurs grandes compagnies touchées par la violation. News24 a noté que des transporteurs opérant à destination et en provenance d'aéroports australiens étaient affectés. Japan Airlines apparaît dans la couverture comme l'une des compagnies concernées par l'incident, selon la synthèse publiée le 2 novembre.

Pourquoi un seul fournisseur atteint autant de compagnies

Les systèmes de réservation sont la partie la moins visible et la plus partagée de l'informatique des compagnies aériennes. Un passager achète un billet à une marque. Mais le dossier de réservation se trouve souvent dans une plateforme exploitée par un tiers qui sert des dizaines de marques à la fois. Quand cette couche lâche, le rayon d'impact est fixé par la liste de clients du fournisseur. Aucun budget de sécurité d'une seule compagnie ne le détermine.

C'est le point structurel derrière le titre d'Insurance Business du 2 novembre. Il a mis en avant le risque cyber des fournisseurs alors que la violation touchait des compagnies aériennes dans le monde entier. PhocusWire a rapporté le même jour que plusieurs partenaires aériens étaient affectés. Le schéma est familier dans d'autres secteurs : le maillon faible est rarement la marque sur la carte d'embarquement.

Amadeus a corrigé la faille, selon NST Online, mais les déclarations des compagnies individuelles ont continué d'arriver dans les jours qui ont suivi.

Pour les voyageurs, les questions pratiques sont plus étroites. Quels dossiers ont été ouverts, quels champs contenaient-ils, et un dossier de réservation compromis crée-t-il un risque de fraude ou d'usurpation de compte ? La plupart des divulgations jusqu'ici ne répondent pas aux trois. Le chiffre de 53 000 de Cathay et celui de 46 000 de Singapore Airlines sont des décomptes de réservations, pas nécessairement de personnes. Une seule réservation peut couvrir une famille.

Il y a aussi un problème de calendrier. Si l'exposition a réellement duré 38 mois, comme l'a rapporté shattered.io, alors certains passagers touchés ont pu voler et oublier complètement le voyage. Les compagnies qui ne préviennent que les clients récents pourraient laisser les plus anciens dans l'ignorance. La fenêtre de notification de 180 jours qui s'applique à certains opérateurs de plateforme dans d'autres contextes ne se transpose pas proprement à ce cas. Aucune des couvertures n'établit une norme unique de notification entre les compagnies.

Le schéma des divulgations, voilà l'histoire

Regardez le calendrier. Le chiffre de Cathay est apparu vers le 30 octobre, selon le South China Morning Post. La déclaration de Malaysia Airlines est tombée les 1er et 2 novembre. Qantas enquêtait encore le 2 novembre. Les 46 000 de Singapore Airlines sont arrivés le 3 novembre. C'est une diffusion lente et échelonnée, chaque compagnie calibrant son propre message. Personne n'a publié de décompte consolidé.

Business Traveller a demandé le 2 novembre si des pirates avaient accédé aux détails des vols. C'est la question que se posent réellement la plupart des passagers. La réponse honnête du dossier public est : chez certaines compagnies, oui, sous une forme ou une autre ; chez d'autres, l'enquête est en cours. L'insistance de Malaysia Airlines à dire que ses systèmes n'avaient pas été touchés, rapportée par KLSE Screener et PenangToday, est un rappel utile. « Affecté » dans ces affaires peut signifier plusieurs choses différentes.

Rien de tout cela n'est propre au voyage. Le même risque de concentration sur des tiers apparaît dans les paiements, la paie et l'hébergement cloud. Ce qui distingue les réservations aériennes, ce sont les données : noms, coordonnées, itinéraires et parfois plus. Ces données sont détenues pour des millions de personnes qui n'ont jamais choisi le fournisseur.

Amadeus n'a pas publié de récit complet de l'incident. Tant que ce ne sera pas fait, les chiffres continueront d'arriver une compagnie à la fois.