Finnair a confirmé lundi que les données des clients étaient couvertes par la violation de données chez le fournisseur de technologie Amadeus. Japan Airlines, ANA, Cathay Pacific, Singapore Airlines, Korean Air, Asiana Airlines, Malaysia Airlines et Condor ont déjà confirmé qu'elles étaient concernées. Selon plusieurs compagnies aériennes, l’accès non autorisé a eu lieu entre août 2023 et septembre 2026.

Amadeus n'a pas précisé combien de compagnies aériennes ou de passagers sont concernés au total. Selon Reuters, la société n'a pas répondu aux questions sur le nombre de clients concernés.

Plusieurs compagnies aériennes ont fourni des chiffres

Japan Airlines et sa filiale Japan Transocean Air font état d'environ 92 000 clients concernés, selon BleepingComputer. Pour environ 2 000 d’entre eux, les données comprenaient également les numéros de passeport, a rapporté aeroTELEGRAPH. Japan Airlines a reçu une notification d'Amadeus le 23 octobre.

Cathay Pacific déclare qu'environ 53 000 réservations sont concernées. Dans la plupart des cas, il s'agissait de la référence de réservation, du nom et des détails du vol, tandis qu'un plus petit nombre contenait également des informations de contact, des numéros de documents de voyage ou des numéros bonus. Singapore Airlines a déclaré le 3 novembre qu'environ 46 000 réservations étaient affectées, a rapporté Reuters.

ANA, Korean Air, Asiana Airlines et Malaysia Airlines n'ont pas fourni de chiffres globaux. Condor non plus, qui a confirmé à aeroTELEGRAPH que les ensembles de données de l'entreprise sont concernés. Selon PhocusWire, Amadeus aurait notifié les compagnies aériennes entre le 20 et le 28 octobre.

Qantas a déclaré qu'Amadeus avait résolu le problème en septembre et que la société enquêtait pour savoir si les réservations avec Qantas étaient affectées.

750 réservations Finnair ont été ouvertes

Selon les informations reçues par Finnair d'Amadeus, le cambriolage concernait des listes de vols de plusieurs compagnies aériennes. Environ 116 000 réservations Finnair figuraient sur ces listes. Parmi ceux-ci, environ 750 ont été ouverts, et 30 d’entre eux concernent des voyages à forfait d’Aurinkomatkat, le voyagiste détenu par Finnair.

Finnair précise que seule une petite partie des réservations ouvertes est encore active. Ceux-ci ont reçu de nouveaux numéros de réservation.

– Nous avons demandé à Amadeus une explication détaillée de l'incident, déclare Timo Arndal, responsable de la sécurité de l'information chez Finnair.

– L'enquête approfondie est toujours en cours, mais Amadeus nous a déjà confirmé qu'aucun numéro de carte de crédit ou mot de passe n'a été consulté. Les systèmes de Finnair n'ont pas été compromis, affirme-t-il.

Amadeus est chargé d'informer les clients

Selon Finnair, Amadeus est responsable du traitement du service concerné. Amadeus a signalé la violation de la vie privée à l'autorité de protection des données d'un pays de l'UE, comme l'exige le règlement sur la protection des données personnelles (RGPD). Finnair ne précise pas à quel pays il s'applique.

En tant que responsable du traitement, Amadeus doit également informer les personnes concernées. Finnair doit envoyer des e-mails aux clients dont les données ont été ouvertes et pour lesquels Amadeus a fourni à la compagnie aérienne les coordonnées. Finnair a également contacté le Centre national finlandais de cybersécurité.

Amadeus évoque une vulnérabilité

La déclaration publique d'Amadeus, datée d'octobre 2026, est brève. La société écrit avoir pris conscience d'une vulnérabilité dans un environnement affichant les réservations de voyages et que certaines données de réservation étaient accessibles via cette vulnérabilité. Selon Amadeus, aucun signe n'a été trouvé indiquant que des données de paiement ou financières ont été extraites, ni aucun signe indiquant que la vulnérabilité a été utilisée pour des virus de rançon.

Amadeus déclare que la vulnérabilité a été corrigée, que la surveillance et la détection ont été renforcées et que l'entreprise est en dialogue direct avec les clients et les autorités. Amadeus a déclaré sur Internet que la société avait été informée de la vulnérabilité le 21 septembre.

Selon Cathay Pacific, une personne non autorisée a utilisé les informations de connexion d'un compte système chez Amadeus pour accéder aux données de réservation.

Le système hôtelier touché en septembre

En septembre, le moteur de réservation d'hôtels d'Amadeus, iHotelier, a également été touché. Un porte-parole d'Amadeus a déclaré à Tageskarte que le 11 septembre, la société avait détecté une activité inhabituelle dans une interface de programmation liée à iHotelier. La chaîne hôtelière allemande Maritim a envoyé 8 716 e-mails aux clients concernés.

Sources

Finnair via Cision, données clients Finnair incluses dans la violation mondiale des données d'Amadeus, novembre 2026.

Amadeus, Déclaration d'Amadeus, octobre 2026.

Cathay Pacific, Incident de sécurité des données personnelles impliquant un fournisseur de services tiers, octobre 2026.

BleepingComputer, Japan Airlines est victime d'une violation de données de tiers exposant des informations sur les passagers, octobre 2026.

Reuters via New Straits Times, Singapore Airlines indique que 46 000 enregistrements de réservation ont été affectés par la violation d'Amadeus, novembre 2026.

New Straits Times, Amadeus corrige la vulnérabilité du système de réservation en raison de violations de données des compagnies aériennes, novembre 2026.

PhocusWire, la violation de données d'Amadeus affecte plusieurs compagnies aériennes partenaires, novembre 2026.

Voyageur d'affaires, des pirates informatiques ont-ils accédé aux détails de votre vol ? Les grandes compagnies aériennes signalent la violation d’Amadeus, novembre 2026.

aeroTELEGRAPH, Auch Condor von Datenleck bei Amadeus betroffen, novembre 2026.

Explore (ACM) via Eastern Riverina Chronicle, Qantas enquête sur l'impact de la violation de données d'Amadeus, novembre 2026.

À l'ère de l'information (ACS), les clients de Qantas sont victimes d'une violation mondiale des données des compagnies aériennes, novembre 2026.

heise en ligne, Vulnérabilité de sécurité dans le système de réservation de vols, récupéré en novembre 2026.

Tageskarte, Maritim informe Gäste über Datendiebstahl bei iHotelier, septembre 2026.