Qantas zgłosił australijskim służbom cyberincydent u Amadeus

Qantas powiadomił Australijskie Centrum Cyberbezpieczeństwa (Australian Cyber Security Centre) i Krajowy Urząd ds. Cyberbezpieczeństwa (National Office of Cyber Security) o nieuprawnionym dostępie w Amadeus, podał Information Age. Rzecznik linii powiedział, że firma pracuje z dostawcą technologii turystycznej, aby ustalić wpływ na ewentualne rezerwacje Qantasu.

Qantas sprawdza, czy wyciek objął rezerwacje

Rzecznik Qantasu powiedział, że „nie ma wpływu na systemy ani bazy danych Qantasu, które pozostają bezpieczne”.

Amadeus wykrył nieuprawnioną aktywność w swoim środowisku rezerwacji we wrześniu 2026 r., podał teiss. Information Age napisał, że Amadeus poinformował dotknięte linie pod koniec października. Qantas twierdzi, że Amadeus przekazał mu, iż opanował problem we wrześniu; Beinsure podał, że Amadeus uporał się z incydentem we wrześniu 2026 r. Dane, których sprawa dotyczy, były przetwarzane między sierpniem 2023 a wrześniem 2026 r., podały Malaysia Airlines i Cathay Pacific.

Dlaczego luka u dostawcy dotyka pasażerów linii

Amadeus dostarcza technologię rezerwacyjną ponad 400 liniom lotniczym, podał Information Age. Incydent dotknął też hotele i wypożyczalnie samochodów działające na jego systemach, podał 7NEWS.

Beinsure podał, że przechwycone numery rezerwacji, plany podróży i identyfikatory osobowe mogą posłużyć do celowanego phishingu albo fałszywych wiadomości podszywających się pod linie lotnicze. Cathay twierdzi, że Amadeus nie znalazł dowodów na wykorzystanie tych danych.

Co potwierdził Amadeus

Amadeus podał, że dowiedział się o „podatności w środowisku wyświetlania rezerwacji”. Firma stwierdziła, że „pewne dane z ekranu rezerwacji były dostępne dzięki tej podatności”. Nie znalazła dowodów, by ktokolwiek dotarł do danych płatniczych lub finansowych. Nie widzi też oznak, by ktoś użył luki do ransomware.

Cathay Pacific podał, że nieuprawniona strona użyła danych logowania przypisanych do konta systemowego Amadeus. Amadeus powiadomił Cathay 28 października 2026 r. i następnego dnia przekazał dodatkowe informacje, podała linia. Cathay twierdzi, że Amadeus potwierdził reset hasła oraz rozszerzony monitoring i wykrywanie. Amadeus mówi, że prowadzi bezpośredni dialog z klientami i władzami.

Liczby, które opublikowały przewoźnicy

Cathay Pacific podał, że incydent objął 53 000 jego rezerwacji, głównie imiona i nazwiska pasażerów, numery rezerwacji i szczegóły lotów. W mniejszym podzbiorze potencjalnie ujawniono dodatkowe dane osobowe, w tym między innymi adresy e-mail i numery telefonów, dokumenty podróży lub numery w programach lojalnościowych, podał Cathay. „Przepraszamy naszych klientów za niepokój i niedogodności spowodowane tym incydentem”, podała linia.

Japan Airlines i Japan Transocean Air zgłosiły około 92 000 dotkniętych klientów, a ANA około 37 800, podał Beinsure. Singapore Airlines podały, że incydent objął około 46 000 rekordów rezerwacji, podał „The Straits Times”. Cathay i SIA liczyły rekordy rezerwacji, Japan Airlines i ANA liczyły klientów, więc liczby nie są bezpośrednio porównywalne.

Wcześniejszy wyciek w Qantasie, który daje punkt odniesienia

W lipcu Office of the Australian Information Commissioner opublikował raport z wycieku w Qantasie z czerwca 2025 r., podał b2bnews. Information Age podał, że dotknął on około 5 120 000 Australijczyków; b2bnews napisał, że skompromitowano około 5 670 000 rekordów klientów. Urząd ochrony prywatności nie stwierdził, by Qantas naruszył obowiązki w zakresie prywatności, podał Information Age.

Co dalej

Malaysia Airlines zaapelowały do klientów o ostrożność wobec nieoczekiwanych wiadomości z prośbą o dane osobowe lub finansowe. Singapore Airlines podały, że kontaktują się z dotkniętymi klientami mającymi zaplanowane podróże, aby zmienić numery rezerwacji.