Plusieurs compagnies ont informé leurs clients d’un accès non autorisé à des données de réservation de passagers dans un environnement Amadeus partagé. Japan Airlines, ANA et Malaysia Airlines ont publié des avis à la fin octobre. Leurs déclarations portent sur des périmètres propres à chaque transporteur; elles ne démontrent pas que toutes les compagnies clientes d’Amadeus sont concernées.
Ce que disent les avis
Japan Airlines a publié un avis le 28 octobre et ANA a diffusé une information spéciale à ses clients. Malaysia Airlines a également publié des consignes aux passagers. Chaque compagnie constitue la source principale pour ce qu’elle sait de ses propres dossiers.
BleepingComputer et ITmedia ont rendu compte des événements, tandis que les avis des compagnies décrivent directement leurs constats. Il ne faut pas additionner les volumes ou catégories de données comme s’il s’agissait d’un total unique: les avis peuvent couvrir des enregistrements différents.
Un système tiers crée une exposition partagée
Les compagnies s’appuient sur des fournisseurs interconnectés pour gérer les réservations et le service client. Un accès à l’environnement d’un prestataire peut donc toucher des dossiers traités pour une compagnie, même si son propre réseau n’est pas décrit comme compromis.
Les avis publics associent l’environnement de réservation concerné à Amadeus. Ils ne démontrent pas que tous les systèmes Amadeus, toutes les compagnies participantes ou tous les dossiers passagers ont été consultés. Le périmètre à retenir est celui communiqué par chaque transporteur.
Quelles données de voyage
JAL rapporte des traces d’accès à environ 92 000 dossiers : environ 90 000 comprenaient un nom, une référence de réservation, des dates et segments de vol et la classe de service; environ 2 000 autres incluaient également notamment une adresse e-mail, un téléphone, un numéro de passeport, la nationalité et le numéro de voyageur fréquent. ANA rapporte environ 37 800 dossiers, dont environ 1 700 avec des catégories supplémentaires similaires, notamment un numéro de passeport. Les deux compagnies disent que les numéros de carte bancaire et mots de passe ne sont pas concernés. Malaysia Airlines n’a pas publié de nombre de passagers ni de catégories précises. Ces chiffres décrivent des périmètres distincts et ne doivent pas être additionnés comme un total vérifié.
Même des détails limités sur un itinéraire peuvent rendre un message ciblé plus crédible. Un fraudeur peut citer un vol réel pour demander des frais, un identifiant ou un code de vérification. Une référence exacte ne prouve pas que l’expéditeur représente la compagnie.
Conseils aux voyageurs
Consultez l’application ou le site officiel de votre compagnie et utilisez les coordonnées qui y sont publiées. Ne suivez pas de lien inattendu pour « confirmer » une réservation, ne transmettez pas de code à usage unique et ne payez pas de frais demandés par message. Si vous recevez une notification directe, appliquez les consignes adaptées aux données concernées.
Compagnies et fournisseurs doivent coordonner l’information des clients, confirmer les dossiers concernés et examiner les contrôles d’accès et la surveillance des services interconnectés. Les responsabilités contractuelles ne remplacent pas une communication claire aux voyageurs.
Ce qui reste incertain
Les informations publiques ne donnent pas un récit complet et commun de l’accès initial, de sa durée ou du nombre total de dossiers. Elles ne permettent pas non plus d’affirmer que tous les clients d’Amadeus sont touchés. Les mises à jour de chaque compagnie sont nécessaires pour préciser ces éléments.
Le lien avec Soclyde
Des mots de passe uniques limitent les conséquences d’un mot de passe exposé ailleurs, mais ne peuvent empêcher un incident sur les données d’un tiers. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Consultez notre guide sur le stockage local ou cloud des mots de passe.
À retenir
Plusieurs compagnies ont signalé un incident touchant des données passagers dans un environnement de réservation partagé. Le périmètre reste propre à chaque transporteur: consultez son avis et vérifiez les messages sur vos réservations par un canal officiel.
