Amadeus : des données de réservation de passagers aériens consultées via un compte système, au moins six compagnies asiatiques touchées

Comment c'est arrivé

Amadeus indique avoir pris connaissance d'une vulnérabilité touchant un environnement d'affichage de réservations, et que certaines données d'affichage de réservations étaient accessibles par cette vulnérabilité. Cathay Pacific indique qu'Amadeus lui a dit que l'accès s'est fait avec des identifiants attribués à son compte système, et qu'Amadeus a réagi par des mesures de confinement dont une réinitialisation de mot de passe. Les deux descriptions ne sont pas rapprochées publiquement. La manière dont les identifiants ont été obtenus n'est pas publique.[1][2][3] Vérifié le 8 nov. 2026

Ce qui a été volé

Des données de réservation. Cathay : le plus souvent référence de réservation, nom du passager et détails du vol ; pour un sous-ensemble plus petit, e-mail, téléphone, numéros de documents de voyage et numéros de fidélité. Japan Airlines : noms, codes de réservation et vols pour tous, plus numéros de passeport, numéros de fidélité, e-mail et téléphone pour environ 2 000 clients. Singapore Airlines : noms, références de réservation, itinéraires et classes de réservation, avec coordonnées et documents de voyage dans environ 620 enregistrements. Amadeus et les compagnies indiquent n'avoir aucune preuve d'accès à des données de paiement ou financières.[2][3][4][7] Vérifié le 8 nov. 2026

Qui est touché

Chiffres connus à ce jour : environ 92 000 clients chez Japan Airlines et Japan Transocean Air, environ 53 000 réservations chez Cathay Pacific, environ 46 000 enregistrements de réservation chez Singapore Airlines et environ 37 800 clients chez ANA. Korean Air, Asiana et Malaysia Airlines ont confirmé des impacts sans chiffres publics. Qantas s'est dite touchée ou en cours d'enquête, selon les sources. Les compagnies touchées donnent une fenêtre d'août 2023 à septembre 2026 et indiquent que leurs propres systèmes n'ont pas été compromis. Le total toutes compagnies confondues est inconnu.[2][3][4][5][6][7] Vérifié le 8 nov. 2026

Acteur

Non attribué

Chronologie

1. 28 oct. 2026Amadeus prévient Cathay Pacific, puis donne des détails le lendemain. Japan Airlines publie un avis : 92 000 clients, Amadeus lui ayant indiqué la semaine précédente que ses données de réservation avaient été consultées. [2][4]
2. 30 oct. 2026Cathay Pacific met à jour son communiqué : environ 53 000 réservations, accès entre août 2023 et septembre 2026, identifiants attribués à un compte système, réinitialisation de mot de passe par Amadeus. [2]
3. 2 nov. 2026Des articles ajoutent Qantas, ANA, Korean Air, Asiana et Malaysia Airlines. Qantas indique qu'Amadeus l'a informée que le problème avait été contenu en septembre. [6]
4. 4 nov. 2026Singapore Airlines signale environ 46 000 enregistrements de réservation touchés. The Record dénombre six compagnies asiatiques. Aucun acteur n'a revendiqué l'attaque et aucune trace des données sur le dark web n'a été signalée. [3][7]