À Singapour, le gendarme des données ouvre une enquête sur la fuite Amadeus

La fuite pourrait avoir exposé des noms, des références de réservation et des itinéraires de voyageurs ayant réservé entre août 2023 et septembre 2026 auprès de compagnies clientes d'Amadeus. Un groupe plus restreint a vu davantage de données concernées.

La faille se situait hors des réseaux propres aux compagnies. D'où la communication de plusieurs transporteurs à quelques jours d'intervalle. D'où, aussi, la formule répétée dans chaque communiqué : les systèmes internes ont tenu.

Singapore Airlines avance un chiffre

SIA a indiqué le 3 novembre que les données d'environ 46 000 dossiers de réservation avaient été consultées. La compagnie cite les noms des clients, les références de réservation, les itinéraires et les classes de réservation. Pour environ 620 dossiers, la fuite pourrait aussi avoir exposé des adresses électroniques, des numéros de téléphone, des données de documents de voyage et des numéros d'adhérent KrisFlyer. Amadeus a confirmé que les données exposées ne comprenaient ni coordonnées bancaires ni informations de carte de crédit. La société a également confirmé que la fuite n'avait modifié aucune réservation. La compagnie contacte les clients concernés ayant un voyage à venir pour changer leur référence de réservation. Elle affirme avoir prévenu les autorités compétentes.

Un prestataire, plusieurs chiffres différents

Cathay Pacific avance de son côté environ 53 000 réservations. La plupart contenaient des références de réservation, des noms de passagers et des détails de vol. Japan Airlines et Japan Transocean Air font état d'environ 92 000 clients touchés. All Nippon Airways indique que la fuite a concerné environ 37 800 clients. Elle pourrait avoir exposé des noms, des références de réservation, des dates de voyage, des trajets et des classes de cabine pour près de 36 100 personnes. Elle pourrait aussi avoir exposé des numéros de passeport, la nationalité et des coordonnées pour environ 1 700 personnes. ANA affirme que la fuite ne portait ni sur des numéros de carte de crédit ni sur des mots de passe de comptes.

Ces chiffres ne s'additionnent pas en un total. Cathay compte des réservations, les compagnies japonaises comptent des clients. Amadeus n'a publié aucun chiffre global.

Comment l'accès s'est produit

Cathay Pacific indique que l'accès non autorisé s'est fait avec des identifiants de connexion attribués à un compte système Amadeus. Amadeus a prévenu la compagnie le 28 octobre. La société a fourni des précisions le lendemain. Amadeus affirme que certaines données d'affichage de réservations étaient accessibles via la faille. Elle affirme aussi n'avoir vu aucun signe d'utilisation d'un rançongiciel exploitant cette faille. Cathay précise que les mesures de confinement ont inclus une réinitialisation des mots de passe.

Cathay Pacific affirme qu'Amadeus n'a pas identifié de preuve d'usage abusif des données concernées.

Malaysia Airlines n'a pas indiqué combien de clients l'incident a touchés.

Amadeus dit être en contact direct avec ses clients et les autorités compétentes.

Qantas et les compagnies qui comptent encore

Qantas indique qu'Amadeus l'a informé avoir contenu le problème en septembre. La compagnie travaille avec le prestataire pour établir l'impact sur ses éventuelles réservations. Elle affirme que ses propres systèmes et bases de données restent sûrs. Elle dit avoir prévenu l'Australian Cyber Security Centre et l'Office of National Cyber Security. Elle n'a confirmé aucun accès à ses dossiers passagers.

Korean Air et Asiana Airlines ont reçu une notification le 20 octobre. Elles n'ont pas révélé combien de clients la fuite a touchés. Malaysia Airlines affirme que la fuite n'a pas compromis ses propres systèmes informatiques. La compagnie dit n'avoir trouvé aucune preuve d'accès à des informations financières. Singapore Airlines affirme que l'incident est resté circonscrit à la plateforme d'Amadeus.

Malaysia Airlines présente Amadeus comme son fournisseur de technologie de réservation. ANA et les deux compagnies japonaises le décrivent comme leur fournisseur de système de services passagers.

Ce qui suit

La Personal Data Protection Commission de Singapour indique que son enquête est en cours. Amadeus affirme que ses propres investigations se poursuivent.

Plusieurs compagnies touchées ont demandé à leurs clients de se méfier des courriels et des appels suspects cherchant des informations personnelles ou financières.