La fuite Amadeus s'étend : Singapore Airlines recense 46 000 dossiers

L'incident a pu exposer un nom, un itinéraire et une classe de réservation pour toute personne ayant réservé auprès d'une compagnie concernée entre août 2023 et septembre 2026. Il a aussi touché le passeport, le téléphone et les données de fidélité d'un groupe plus restreint. Aucune compagnie n'a publié de total combiné. Un passager qui lit la notice d'une seule compagnie ne peut pas voir l'ampleur réelle de l'incident. On ne sait toujours pas si Amadeus publiera sa propre évaluation du périmètre, ni ce que feront les autorités de régulation.

Singapore Airlines avance un chiffre

Pour environ 620 des 46 000 dossiers, l'incident a exposé davantage de données. Un porte-parole a déclaré à AsiaOne et au Straits Times qu'un tiers non autorisé pourrait aussi avoir consulté des adresses e-mail, des numéros de téléphone, des documents de voyage et des numéros de membre KrisFlyer.

Amadeus a confirmé que l'incident n'avait exposé ni coordonnées bancaires ni données de carte de crédit, et qu'il n'avait modifié aucune réservation. Singapore Airlines affirme que l'incident est resté circonscrit à la plateforme d'Amadeus. Personne n'a pénétré les systèmes informatiques de la compagnie. Celle-ci contacte les clients concernés ayant un voyage à venir pour changer leur référence de réservation. Elle dit avoir informé les autorités compétentes.

Un fournisseur, plusieurs compagnies, aucun total

Cathay Pacific a indiqué que l'incident touchait environ 53 000 réservations. La plupart de ces dossiers contenaient des références de réservation, des noms de passagers et des détails de vol. Japan Airlines et Japan Transocean Air ont signalé environ 92 000 clients concernés. All Nippon Airways avance le chiffre d'environ 37 800 clients, dont 1 700 dont les dossiers contenaient des informations personnelles supplémentaires.

Malaysia Airlines a déclaré que l'incident pouvait avoir touché des informations traitées via Amadeus entre août 2023 et septembre 2026. Elle n'a pas donné de nombre de clients. Korean Air et Asiana Airlines ont signalé un accès non autorisé. Ni l'une ni l'autre n'a précisé combien de clients étaient concernés. Qantas n'a pas publié de chiffre. La compagnie dit travailler avec Amadeus pour déterminer si l'incident a compromis les informations de réservation de ses passagers.

Les chiffres ne s'additionnent pas, et ce n'est pas une question d'arrondi. Cathay compte des réservations, les compagnies japonaises comptent des clients. Une même réservation peut couvrir plusieurs voyageurs ; les additionner ne donnerait donc pas un total fiable de passagers.

Comment l'accès s'est produit

Selon le récit de Cathay Pacific, un tiers non autorisé a utilisé des identifiants attribués à un compte système Amadeus pour atteindre des données de réservation. Amadeus a décrit une vulnérabilité touchant un environnement d'affichage des réservations. Cette faille rendait accessibles certaines données affichées dans les réservations.

L'entreprise affirme avoir corrigé la vulnérabilité et renforcé la surveillance et la détection. Elle assure aussi qu'aucune preuve n'indique un accès à des données de paiement ou financières. Elle n'a trouvé aucun signe d'exploitation de la faille à des fins de rançongiciel.

Les notifications sont parties par vagues. Cathay Pacific a reçu un avis le 28 octobre et des détails supplémentaires le lendemain. Qantas a indiqué qu'Amadeus lui avait dit avoir maîtrisé le problème en septembre 2026. Qantas affirme que ses propres systèmes et bases de données restent sûrs.

Un nouvel épisode pour Singapore Airlines

Singapore Airlines connaît déjà ce genre de situation. Selon les informations disponibles, l'incident Amadeus est la troisième violation de données à toucher la compagnie depuis février 2021. La première remonte à cette année-là. Une intrusion chez le prestataire informatique du transport aérien Sita avait compromis les numéros de membre et les statuts de 580 000 membres KrisFlyer et PPS. En 2022, une attaque d'hameçonnage avait visé KrisShop, le service de vente à bord de la compagnie, et exposé les données de 4 749 clients.

Les 46 000 dossiers recensés ici sont moins nombreux que le chiffre de 2021. La différence tient au chemin emprunté : cette fois, les données se trouvaient chez un fournisseur partagé par de nombreuses compagnies.

Ce qui reste en suspens

Le nombre total de clients touchés, toutes compagnies confondues, reste inconnu. Malaysia Airlines n'a pas précisé combien de clients l'incident concernait ni quelles catégories de données personnelles étaient visées. Amadeus n'a pas répondu à une question du Straits Times sur le volume de données touché. Les notices des compagnies établissent l'existence d'un fournisseur commun. Elles ne montrent pas que toutes les compagnies aient utilisé la même application ni le même compte compromis.

Plusieurs compagnies touchées ont conseillé à leurs clients de se méfier des e-mails suspects, des appels téléphoniques frauduleux et des autres messages demandant des informations personnelles ou financières. Amadeus indique que ses enquêtes se poursuivent. L'entreprise dit être en contact direct avec ses clients et les autorités compétentes.