Japan Airlines (JAL), teknoloji sağlayıcısı Amadeus tarafından işletilen sistemlere hackerların yetkisiz erişim sağlaması üzerine yaklaşık 92.000 yolcunu etkileyen bir veri ihlali açıkladı. Olay, rezervasyon detaylarını ve bazı durumlarda pasaport numaraları ve iletişim bilgileri gibi hassas kişisel bilgileri ortaya çıkardı.
İhlal, Japan Airlines ve yan kuruluşu Japan Transocean Air’in uçuş rezervasyonlarını, bilet ayarlamalarını ve yolcu check-in işlemlerini yönetmek için kullandığı Amadeus’un Yolcu Hizmet Sistemi (PSS) ile ilgiliydi. Havayolu, Amadeus’un müşteri kayıtlarına yetkisiz erişim kanıtı bulmasının ardından 23 Ekim 2026’da olaydan haberdar oldu.
JAL’ın açıklamasına göre, şüpheli faaliyet 10 Ağustos 2023’ten 23 Eylül 2026’ya kadar olan bir dönemi kapsamaktadır. Uzatılmış zaman aralığı, yolcu bilgilerinin yetkisiz kişiler tarafından üç yıldan fazla süredir erişilebilir olabileceğini gösteriyor.
Etkilenen yolcuların çoğunluğu, yaklaşık 90.000 kişi, rezervasyon kodları, isimleri, uçuş tarihleri, güzergahları ve seyahat sınıfları açığa çıktı. Ancak, e-posta adresleri, telefon numaraları, pasaport numaraları, milliyetler, sık uçan kişi numaraları, uçuş numaraları, bilet numaraları ve koltuk tahsiyeleri gibi daha kapsamlı bir açıklamadan etkilenen 2.000 müşteri daha fazla oldu.
Japan Airways, kredi kartı bilgileri ve şifrelerinin ele geçirilmediğini doğruladı. Havayolu ayrıca uçuş operasyonlarının etkilenmediğini ve Amadeus’un olayı ele almak için gerekli güvenlik önlemlerini tamamladığını belirtti.
Bu açıklama, Amadeus’un 1 Ekim’de yaptığı önceki güvenlik duyurusunun ardından geldi; şirket, seyahat rezervasyon ekran ortamında yolcu bilgilerini açığa çıkarabilecek bir güvenlik açığı keşfettiğini bildirdi. O dönemde Amadeus, fidye yazılımı sömürüsü veya finansal verilerin ifşa edildiğine dair hiçbir kanıt bulmadığını belirtti.
Diğer havayolları da Amadeus platformuyla ilgili olaylar bildirdi. Güney Kore hava yolları Korean Air ve Asiana Airlines, bu güvenlik açığına ilişkin bir maruziyete sahip olduğunu doğrularken, Japonya’nın All Nippon Airways’i benzer bir müşteri veri ihlalini açıkladı.
Amadeus müşterileri arasındaki olayın tam kapsamı henüz belirsiz ve şirket, dünya genelinde kaç havayolu veya yolcunun etkilendiğini kamuoyuna açıklamadı.
Japan Airlines, ortaya çıkan bilgilerin kötüye kullanıldığına dair hiçbir kanıt bulamadığını belirtti. Buna rağmen, havayolu etkilenen yolcularla bireysel olarak iletişime geçiyor ve onları oltalama e-postaları, sahte telefon görüşmeleri ve JAL kimliği taklit eden web siteleri konusunda uyarıyor.
29 Ekim’de özel bir müşteri sorgulama hizmeti sunuldu ve yolcular ihlalla ilgili ek bilgi ve yardım talep edebildi.