Japan Airlines (JAL) hat eine Datenpanne bekanntgegeben, die etwa 92.000 Passagiere betrifft, nachdem Hacker unbefugten Zugang zu den von ihrem Technologieanbieter Amadeus betriebenen Systemen erhalten hatten. Der Vorfall brachte Reservierungsdetails und in einigen Fällen sensible persönliche Informationen, einschließlich Passnummern und Kontaktdaten, zur Oberfläche.
Die Sicherheitslücke betraf das Passenger Service System (PSS) von Amadeus, das Japan Airlines und ihre Tochtergesellschaft Japan Transocean Air zur Verwaltung von Flugreservierungen, Ticketing und Passagiercheck-in nutzen. Die Fluggesellschaft erfuhr am 23. Oktober 2026 von dem Vorfall, nachdem Amadeus Beweise für unbefugten Zugriff auf Kundendaten entdeckt hatte.
Laut der Ankündigung von JAL erstreckte sich die verdächtige Aktivität über einen Zeitraum vom 10. August 2023 bis zum 23. September 2026. Der verlängerte Zeitraum deutet darauf hin, dass Passagierinformationen möglicherweise mehr als drei Jahre für unbefugte Personen zugänglich waren.
Die Mehrheit der betroffenen Passagiere, etwa 90.000 Personen, hatten ihre Reservierungscodes, Namen, Flugdaten, Routen und Reiseklassen offengelegt. Allerdings waren weitere 2.000 Kunden von einer umfassenderen Offenlegung betroffen, die E-Mail-Adressen, Telefonnummern, Passnummern, Nationalitäten, Vielfliegernummern, Flugnummern, Ticketnummern und Sitzplatzzuweisungen betraf.
Japan Airlines bestätigte, dass Kreditkarteninformationen und Passwörter nicht kompromittiert wurden. Die Fluggesellschaft erklärte außerdem, dass ihr Flugbetrieb unbeeinträchtigt bleibt und Amadeus die notwendigen Sicherheitsmaßnahmen zur Bewältigung des Vorfalls ergriffen hat.
Die Offenlegung folgt auf eine frühere Sicherheitsankündigung von Amadeus am 1. Oktober, als das Unternehmen berichtete, eine Schwachstelle in seiner Reisebuchungsanzeigeumgebung entdeckt zu haben, die Passagierinformationen offenlegen könnte. Zu diesem Zeitpunkt gab Amadeus an, keine Hinweise auf Ransomware-Ausnutzung oder die Offenlegung von Finanzdaten gefunden zu haben.
Auch andere Fluggesellschaften haben Vorfälle mit der Amadeus-Plattform gemeldet. Die südkoreanischen Fluggesellschaften Korean Air und Asiana Airlines haben eine Exposition im Zusammenhang mit der Schwachstelle bestätigt, während Japan All Nippon Airways Berichten zufolge eine ähnliche Kundendatenpanne gemeldet hat.
Das vollständige Ausmaß des Vorfalls bei Amadeus-Kunden bleibt unklar, und das Unternehmen hat nicht öffentlich bekanntgegeben, wie viele Fluggesellschaften oder Passagiere weltweit betroffen waren.
Japan Airlines gab an, keine Beweise dafür gefunden zu haben, dass die aufgedeckten Informationen missbraucht wurden. Dennoch kontaktiert die Fluggesellschaft die betroffenen Passagiere einzeln und warnt sie vor Phishing-E-Mails, betrügerischen Telefonaten und Webseiten, die sich als JAL ausgeben.
Am 29. Oktober wurde ein spezieller Kundenanfragendienst verfügbar, der es den Passagieren ermöglicht, zusätzliche Informationen und Unterstützung bezüglich des Datenverstoßes einzuholen.