La fuite chez Amadeus atteint 46 000 dossiers de réservation de Singapore Airlines

Le Straits Times rapporte le 3 novembre qu'environ 46 000 dossiers de réservation de Singapore Airlines ont été consultés illégalement dans la fuite survenue chez le fournisseur de technologies de voyage Amadeus. Ce chiffre place SIA parmi les victimes les plus lourdement touchées à ce jour. Il tombe trois jours après que Cathay Pacific a avancé son propre décompte de 53 000 réservations.

Le Bangkok Post a rapporté le chiffre de Cathay le 30 octobre, et IDNFinancials l'a repris la même semaine. Aucune des deux compagnies n'a précisé quels champs les attaquants ont atteints. Amadeus n'a pas publié de description technique de la faille. Le schéma se répète d'un transporteur à l'autre : chaque compagnie divulgue une part d'un système de réservation partagé qu'elle ne contrôle pas. Les 53 000 de Cathay et les 46 000 de SIA sont des dossiers de réservation, pas forcément des passagers. Les deux chiffres ne sont pas directement comparables sans savoir comment chaque compagnie compte un dossier. Toutes les divulgations publiées à ce jour omettent la même chose : quels champs de données ont réellement été lus.

Qantas a confirmé enquêter sur une possible exposition de données de réservation, selon Airways Magazine le 2 novembre. Malaysia Airlines a prévenu ses clients qu'ils pourraient être concernés, rapporte le Bangkok Post le 1er novembre. PenangToday et KLSE Screener ont tous deux repris la déclaration de la compagnie selon laquelle ses propres systèmes informatiques n'ont pas été touchés.

La distinction compte : la compagnie affirme que la compromission se situe chez le prestataire, pas dans son réseau. Japan Airlines figure dans la liste des transporteurs touchés selon les articles d'InfotechLead et d'autres médias. Aucun chiffre de réservations n'a été publié pour elle. Neuf jours après les premières révélations, l'état des lieux public reste partiel.

Trois ans, une seule vulnérabilité

Le détail le plus lourd, c'est la durée. PYOK rapporte le 30 octobre que la fuite chez le fournisseur logiciel qui gère les réservations de centaines de compagnies internationales a duré trois ans. Shattered.io décrit la faille comme ayant exposé 38 mois de données aériennes. Amadeus a depuis corrigé la vulnérabilité, selon NST Online, qui a rapporté la correction le 2 novembre.

L'entreprise n'a pas expliqué comment l'accès a pu passer inaperçu aussi longtemps. Aucun média n'a publié la cause première.

« Vendor cyber risk in focus as Amadeus breach hits airlines globally », titrait Insurance Business le 2 novembre, qui présente l'affaire comme le marché de l'assurance commence à la voir.

Ce cadrage n'a rien de rhétorique. Une plateforme de réservation se situe entre la compagnie et son client. Elle contient des numéros de passeport, des coordonnées et des itinéraires, et chaque transporteur qui s'y connecte peut y accéder. Quand elle cède, la défaillance ne reste pas enfermée dans une seule marque. Les compagnies qui achètent ses services héritent de l'exposition sans jamais détenir elles-mêmes les données.

Ce que les compagnies disent aux passagers

Malaysia Airlines a averti ses clients après la fuite, selon des articles publiés notamment par VnExpress International et le Bangkok Post. Qantas décrivait encore son enquête comme préliminaire le 2 novembre, d'après Airways Magazine. À ce moment, la compagnie n'avait pas confirmé l'ampleur d'une éventuelle exposition. News.com.au rapportait le 2 novembre que Qantas et d'autres grandes compagnies avaient été impliquées dans l'incident. News24 rapportait le même jour que des transporteurs desservant les aéroports australiens étaient concernés.

L'article de Business Traveller du 2 novembre abordait la question que les passagers posent vraiment : savoir si leurs données de vol ont été consultées.

Pour les voyageurs, le conseil pratique ne change pas et n'a rien de spectaculaire. Surveiller les hameçonnages qui citent une vraie référence de réservation, puisque ce sont exactement les données qui circulent aujourd'hui. Ni Amadeus ni les compagnies citées ici n'ont indiqué combien de dossiers au total ont été atteints. Chaque chiffre isolé est le décompte d'une compagnie, pas la taille de l'incident. Travel Daily News International rapportait le 3 novembre que Paxport et ITT avaient publié un guide sur les risques liés à la connectivité des compagnies aériennes. La réponse du secteur s'oriente vers des listes de contrôle pour les achats plutôt que vers le détail de l'incident.

La question qui reste ouverte est contractuelle. Les compagnies achètent des services de réservation à une poignée de fournisseurs. Les révélations de SIA et de Cathay montrent avec quelle rapidité la faille d'un seul prestataire devient une affaire de divulgations multiples. Amadeus et les autorités chargées de l'enquête n'ont pas encore publié ce qui s'est passé entre le premier accès non autorisé et la correction. Tant qu'ils ne le feront pas, le chiffre de 38 mois reste le fait le plus grave de l'histoire, et le moins expliqué.