Japan Airlines (JAL) heeft een datalek bekendgemaakt die ongeveer 92.000 passagiers treft nadat hackers ongeautoriseerde toegang kregen tot systemen van hun technologieleverancier Amadeus. Het incident bracht reserveringsgegevens bloot en, in sommige gevallen, gevoelige persoonlijke informatie, waaronder paspoortnummers en contactgegevens.
De inbreuk betrof het Passenger Service System (PSS) van Amadeus, dat Japan Airlines en haar dochteronderneming Japan Transocean Air gebruiken om vluchtreserveringen, ticketverkoop en passagiersinchecken te beheren. De luchtvaartmaatschappij kwam op 23 oktober 2026 op de hoogte van het incident, nadat Amadeus bewijs had gevonden van ongeautoriseerde toegang tot klantgegevens.
Volgens de aankondiging van JAL besloeg de verdachte activiteit een periode van 10 augustus 2023 tot 23 september 2026. De verlengde periode geeft aan dat passagiersinformatie mogelijk meer dan drie jaar toegankelijk was voor ongeautoriseerde partijen.
De meerderheid van de getroffen passagiers, ongeveer 90.000 personen, zag hun reserveringscodes, namen, vluchtdata, routes en reisklassen openbaar. Echter, nog eens 2.000 klanten werden getroffen door een uitgebreidere openbaarmaking met e-mailadressen, telefoonnummers, paspoortnummers, nationaliteiten, frequent flyersnummers, vluchtnummers, ticketnummers en stoelindelingen.
Japan Airlines bevestigde dat creditcardgegevens en wachtwoorden niet zijn gecompromitteerd. De luchtvaartmaatschappij verklaarde ook dat haar vluchtoperaties onaangetast blijven en dat Amadeus de noodzakelijke beveiligingsmaatregelen heeft genomen om het incident aan te pakken.
De onthulling volgt op een eerdere beveiligingsaankondiging van Amadeus op 1 oktober, toen het bedrijf meldde een kwetsbaarheid te ontdekken in zijn reisboekingsdisplayomgeving die passagiersinformatie kon onthullen. Op dat moment zei Amadeus geen bewijs te hebben gevonden van ransomware-misbruik of blootstelling van financiële gegevens.
Andere luchtvaartmaatschappijen hebben ook incidenten gemeld met het Amadeus-platform. De Zuid-Koreaanse luchtvaartmaatschappijen Korean Air en Asiana Airlines hebben de blootstelling aan de kwetsbaarheid bevestigd, terwijl het Japanse All Nippon Airways naar verluidt een soortgelijke datalek van klanten heeft bekendgemaakt.
De volledige omvang van het incident onder Amadeus-klanten blijft onduidelijk, en het bedrijf heeft niet publiekelijk vastgesteld hoeveel luchtvaartmaatschappijen of passagiers wereldwijd zijn getroffen.
Japan Airlines zei geen bewijs te hebben gevonden dat de blootgelegde informatie is misbruikt. Desalniettemin neemt de luchtvaartmaatschappij individueel contact op met getroffen passagiers en waarschuwt hen voor phishing-e-mails, frauduleuze telefoontjes en websites die zich voordoen als JAL.
Op 29 oktober werd er een speciale klantenservice beschikbaar, waarmee passagiers extra informatie en hulp konden zoeken over het lek.