Japan Airlines (JAL) a révélé une violation de données touchant environ 92 000 passagers après que des hackers ont obtenu un accès non autorisé aux systèmes exploités par son fournisseur technologique, Amadeus. L’incident a révélé des détails de réservation et, dans certains cas, des informations personnelles sensibles, y compris des numéros de passeport et des coordonnées.
La violation concernait le système de service passagers (PSS) d’Amadeus, que Japan Airlines et sa filiale Japan Transocean Air utilisent pour gérer les réservations de vols, la billetterie et l’enregistrement des passagers. La compagnie aérienne a appris l’incident le 23 octobre 2026, après qu’Amadeus a découvert des preuves d’un accès non autorisé aux dossiers clients.
Selon l’annonce de JAL, l’activité suspecte s’est étendue du 10 août 2023 au 23 septembre 2026. La période prolongée indique que les informations sur les passagers ont pu être accessibles à des personnes non autorisées pendant plus de trois ans.
La majorité des passagers concernés, soit environ 90 000 personnes, ont vu leurs codes de réservation, noms, dates de vol, itinéraires et classes de voyage exposés. Cependant, 2 000 autres clients ont été touchés par une divulgation plus étendue impliquant adresses e-mail, numéros de téléphone, numéros de passeport, nationalités, numéros de voyageur fréquent, numéros de vol, numéros de billets et affectations de sièges.
Japan Airlines a confirmé que les informations de carte bancaire et les mots de passe n’avaient pas été compromis. La compagnie aérienne a également déclaré que ses opérations aériennes restaient intactes et qu’Amadeus avait pris en place les mesures de sécurité nécessaires pour faire face à l’incident.
Cette divulgation fait suite à une annonce de sécurité antérieure d’Amadeus le 1er octobre, lorsque la société a signalé avoir découvert une vulnérabilité dans son environnement d’affichage de réservation de voyage pouvant exposer des informations sur les passagers. À ce moment-là, Amadeus a déclaré n’avoir trouvé aucune preuve d’exploitation par ransomware ou d’exposition de données financières.
D’autres compagnies aériennes ont également signalé des incidents impliquant la plateforme Amadeus. Les compagnies sud-coréennes Korean Air et Asiana Airlines ont confirmé une exposition liée à cette vulnérabilité, tandis que la japonaise All Nippon Airways aurait révélé une violation similaire de données clients.
L’ampleur complète de l’incident chez les clients d’Amadeus reste incertaine, et la société n’a pas encore établi publiquement combien de compagnies aériennes ou de passagers ont été touchés dans le monde.
Japan Airlines a déclaré n’avoir trouvé aucune preuve que les informations exposées aient été mal utilisées. Néanmoins, la compagnie contacte individuellement les passagers concernés et les met en garde contre des courriels de phishing, des appels téléphoniques frauduleux et des sites web se faisant passer pour JAL.
Un service dédié aux demandes clients est devenu disponible le 29 octobre, permettant aux passagers de demander des informations supplémentaires et de l’assistance concernant la violation.