De Finse luchtvaartmaatschappij Finnair heeft bevestigd dat ongeveer 116.000 vluchtreserveringen zijn getroffen door een cyberbeveiligingsincident met Amadeus, een grote technologieleverancier die de wereldwijde reisindustrie bedient. De inbreuk vond plaats buiten de eigen infrastructuur van Finnair en heeft ook verschillende internationale luchtvaartmaatschappijen getroffen.
In een verklaring gepubliceerd op 9 november 2026 liet Finnair weten dat Amadeus had geïnformeerd dat ongeautoriseerde partijen toegang hadden gehad tot reserveringsinformatie van meerdere luchtvaartpassagiers. Van de ongeveer 116.000 Finnair-boekingen waren er ongeveer 750 geopend voor onderzoek, waaronder 30 die verband houden met Aurinkomatkat-vakantiepakketten.
Het onderscheid tussen getroffen reservaten en onderzochte reservaten is aanzienlijk. Hoewel een groot aantal boekingen bij het incident was opgenomen, heeft Finnair niet vastgesteld dat de aanvallers elk reservaat individueel onderzochten of alle bijbehorende informatie verkregen.
Amadeus levert software ter ondersteuning van luchtvaartreserveringen, ticketing en passagiersservices. De systemen verwerken boekingsinformatie voor tal van reisbedrijven, waardoor het incident relevant is voor passagiers buiten één enkele luchtvaartmaatschappij.
Timo Arndal, Chief Information Security Officer van Finnair, zei dat het bedrijf Amadeus om een gedetailleerde uitleg had gevraagd. Het onderzoek loopt nog steeds, maar de aanbieder heeft bevestigd dat de betaalkaartnummers en rekeningwachtwoorden niet zijn benaderd.
Finnair benadrukte ook dat haar eigen systemen niet zijn gecompromitteerd. Volgens Amadeus is de ongeautoriseerde activiteit gestopt en zijn er beveiligingsmaatregelen genomen om de kwetsbaarheid aan te pakken.
Slechts een klein deel van de reserveringen die door de aanvallers werden onderzocht, bleef actief. Finnair kende nieuwe referentienummers toe aan die reserveringen om het risico op ongeoorloofde toegang te verkleinen.
Het incident maakt deel uit van een bredere datablootstelling die luchtvaartmaatschappijen raakt die Amadeus-technologie gebruiken. Japan Airlines meldde eerder dat ongeveer 92.000 klanten werden getroffen, terwijl Singapore Airlines ongeveer 46.000 mogelijk opengestelde boekingsgegevens bekendmaakte.
Thai Airways heeft ook gemeld dat ongeveer 60.529 passagiersgegevens mogelijk zijn benaderd. Sommige getroffen luchtvaartmaatschappijgegevens bevatten extra persoonlijke gegevens, waaronder contactgegevens en paspoortnummers, hoewel de categorieën van blootgestelde informatie per maatschappij verschillen.
Amadeus heeft erkend dat er een kwetsbaarheid is met betrekking tot een omgeving voor het weergeven van reisboekingen. Het bedrijf verklaarde dat bepaalde reserveringsinformatie toegankelijk werd en dat het onderzoek geen bewijs vond van blootstelling aan betalingen of financiële gegevens.
De aanbieder meldde ook geen aanwijzingen dat de kwetsbaarheid was misbruikt voor ransomwaredoeleinden. Er zijn aanvullende monitorings- en detectiemaatregelen geïmplementeerd terwijl er nog steeds contact wordt gemaakt met klanten en autoriteiten.
Finnair zei dat Amadeus een gegevensbeschermingsinstantie in een lidstaat van de Europese Unie had geïnformeerd onder de Algemene Verordening Gegevensbescherming. Als gegevensbeheerder voor de betreffende dienst is Amadeus verantwoordelijk voor het informeren van personen van wie de informatie betrokken was.
Finnair zal afzonderlijk contact opnemen met getroffen klanten van wie het contactgegevens van Amadeus heeft ontvangen. De luchtvaartmaatschappij heeft ook het Finse Nationaal Cyberbeveiligingscentrum geïnformeerd.
Passagiers die bezorgd zijn over hun informatie kunnen contact opnemen met Amadeus op dataprotection@amadeus.com. Finnair heeft klanten geadviseerd alert te blijven op verdachte berichten en telefoongesprekken die mogelijk proberen informatie over het datalek te misbruiken.