Fuite de données Amadeus, plusieurs compagnies aériennes concernées

L’incident de cybersécurité chez Amadeus, fournisseur de technologies de réservation aérienne, concerne désormais dix compagnies ayant publié des avis, dont Malaysia Airlines. Dans un communiqué du 31 octobre 2026, le transporteur malaisien signale une possible exposition de données clients. Le 30 octobre, Cathay Pacific avait confirmé un accès non autorisé à des données de réservation. Environ 53 000 dossiers sont concernés. Japan Airlines, Japan Transocean Air, All Nippon Airways (ANA), Korean Air et Asiana figurent également parmi les compagnies concernées. Air Do, Solaseed Air et Star Flyer, trois transporteurs japonais, signalent aussi des traces d’accès suspect aux données de leurs réservations. Les compagnies qui ont précisé leur situation opérationnelle n’ont signalé aucune perturbation des vols liée à cet incident.

Les compagnies aériennes concernées par la fuite Amadeus

Les avis publiés jusqu’au 31 octobre identifient dix compagnies, dont Malaysia Airlines, qui évoque à ce stade une exposition possible. Le tableau distingue les réservations des clients et évite d’additionner des chiffres qui pourraient se recouper.

Source : déclarations des compagnies détaillées ci-dessous. Attention : 53 000 réservations ne correspondent pas nécessairement à 53 000 personnes. Les bilans japonais peuvent également se recouper. Ce tableau ne constitue pas un total mondial de victimes.

Malaysia Airlines signale une exposition possible des données clients

Dans un avis officiel publié le 31 octobre 2026, Malaysia Airlines annonce que des informations clients traitées par Amadeus entre août 2023 et septembre 2026 pourraient être concernées. La compagnie ne donne ni nombre de passagers ni liste précise des données éventuellement exposées. Elle indique que ses propres systèmes informatiques n’ont pas été compromis et qu’aucun élément ne montre, à ce jour, un accès à des informations financières. Elle enquête avec Amadeus et appelle les voyageurs à se méfier des messages suspects sollicitant des informations personnelles ou bancaires.

Cathay Pacific confirme 53 000 réservations concernées

Amadeus a informé la compagnie hongkongaise le 28 octobre et lui a transmis des précisions le lendemain. Dans un avis officiel du 30 octobre, Cathay Pacific détaille l’incident. Il concerne environ 53 000 dossiers de réservation.

Le plus souvent, les éléments consultés comprennent le nom du passager, la référence de réservation et les détails du vol. Certains dossiers contiennent davantage d’informations personnelles. L’accès a aussi pu porter sur des adresses électroniques, des numéros de téléphone, des documents de voyage et des identifiants de fidélité.

La compagnie ne relève aucune preuve d’accès aux informations financières ou de paiement. Elle précise aussi que ses propres systèmes et ses opérations ne sont pas affectés. Elle poursuit l’examen des dossiers et prévoit de contacter les voyageurs concernés individuellement.

Japan Airlines et Japan Transocean Air signalent 92 000 clients

Au Japon, Japan Airlines et Japan Transocean Air ont publié leur bilan actualisé le 30 octobre. Il porte sur environ 92 000 clients au total, et non sur 92 000 réservations supplémentaires.

Pour environ 90 000 clients, les données concernées sont les noms et références de réservation. Elles incluent aussi les dates, trajets et classes de voyage. Pour 2 000 autres, s’ajoutent des coordonnées et des numéros de passeport. Des informations de fidélité et de billetterie sont également concernées.

JAL indique qu’Amadeus l’a alertée le 23 octobre. Elle ne signale ni compromission de numéros de carte bancaire ou de mots de passe, ni conséquence pour ses vols. JAL a averti les clients identifiés par courriel, à l’adresse indiquée lors de la réservation.

ANA confirme 37 800 clients, Korean Air et Asiana également concernées

Le même jour, All Nippon Airways (ANA) a fait état d’environ 37 800 clients concernés. Pour 36 100 clients, les données concernent surtout les noms et références de réservation. Elles incluent aussi les trajets, dates de vol et classes de voyage.

En revanche, environ 1 700 dossiers ANA comportent des données supplémentaires. Il s’agit notamment de coordonnées, de numéros de passeport et d’informations de fidélité ou de billet. La compagnie assure que les numéros de carte bancaire et les mots de passe ne sont pas concernés. Elle prévoit de prévenir les clients touchés.

En Corée du Sud, Korean Air a également publié un avis. La compagnie confirme notamment l’exposition de références de réservation. Elle dit poursuivre ses vérifications pour établir les autres données concernées et le nombre de clients touchés. Elle n’a pas constaté d’intrusion dans sa propre base de données.

Asiana Airlines confirme également une exposition de données de réservation liée à Amadeus. La compagnie en donne les détails dans son avis officiel du 23 octobre. Elle précise que les données de paiement ne figurent pas parmi les informations concernées. Les deux compagnies n’ont pas encore publié de bilan chiffré fiable.

Air Do, Solaseed Air et Star Flyer alertées par ANA au Japon

Trois autres compagnies japonaises ont signalé l’incident le 29 octobre. Elles utilisent le système de réservation Amadeus par l’intermédiaire d’ANA. Chacune fait état de traces d’accès non autorisé à des informations de réservation.

Air Do, Solaseed Air et Star Flyer l’ont confirmé dans des avis publiés sur leurs sites officiels. Les trois transporteurs travaillent avec ANA pour établir le périmètre exact. Aucun bilan individuel fiable n’est encore disponible. Ces données peuvent recouper le bilan d’ANA. Il serait donc trompeur d’ajouter ces voyageurs aux 37 800 clients déjà annoncés.

Un accès non autorisé au système d’Amadeus, des questions encore ouvertes

Selon les informations transmises aux transporteurs, une personne non autorisée a utilisé les identifiants d’un compte de système chez Amadeus. Les traces portent sur une période allant d’août 2023 à septembre 2026. Cette fenêtre ne prouve pas, à elle seule, que l’intrusion est restée active sans interruption pendant trois ans.

Cathay Pacific rapporte qu’Amadeus a réinitialisé des mots de passe et renforcé la surveillance de ses systèmes. À ce stade, Amadeus n’a signalé aucune utilisation frauduleuse confirmée des données concernées à Cathay Pacific. Il reste néanmoins à déterminer l’ampleur totale de l’incident chez ses clients.

Le nom de Condor apparaît également dans l’enquête Bloomberg diffusée le 30 octobre. Mais une autre exposition de données Amadeus documentée en Allemagne concernait aussi des réservations Condor et Lufthansa. Son mécanisme diffère de l’accès par identifiants décrit par les compagnies asiatiques. Aucun élément public ne permet actuellement d’affirmer qu’il s’agit d’une seule et même intrusion. À ce stade, nous ne comptons donc ni Condor ni Lufthansa parmi les compagnies ayant signalé cet incident dans leurs avis officiels.

Jin Air a également annoncé, le 29 octobre, la fuite de données de 1 454 membres. Mais selon l’enquête de Seoul Economic Daily fondée sur son avis, l’attaque a visé une interface de consultation des comptes de membres de Jin Air. Ce mécanisme est distinct de celui signalé chez Amadeus. Il ne faut donc pas ajouter ces 1 454 personnes au bilan de l’incident Amadeus.

Quelles autres compagnies utilisent des solutions Amadeus ?

Amadeus ne travaille pas uniquement avec les dix compagnies ayant signalé cet incident, confirmé ou potentiel, dans leurs avis. Le groupe fournit des technologies de réservation, de distribution, de gestion des passagers ou de tarification à de nombreux transporteurs. Sur son site officiel, il indique compter plus de 130 clients pour son système de gestion des passagers Altéa.

Pour Nevio, Amadeus cite notamment Air France-KLM, British Airways, Lufthansa Group, Finnair et Saudia dans sa présentation financière du premier trimestre 2026. Concernant Altéa, ses rapports antérieurs mentionnent aussi Etihad Airways, ITA Airways et Hawaiian Airlines. Enfin, le groupe a étendu son accord de distribution avec Transavia en février 2026.

Ces partenariats concernent des produits et des périmètres différents. Une compagnie peut vendre des billets via Amadeus sans utiliser tous ses systèmes informatiques. Surtout, ce partenariat ne prouve aucune exposition de ses données dans la fuite d’octobre 2026. Cette liste de clients reste non exhaustive : elle ne constitue pas un bilan des victimes.

Les précautions utiles aux voyageurs après cette fuite de données

Un message frauduleux peut reprendre de véritables informations de voyage et paraître crédible. Un numéro de réservation ou une date de vol ne garantissent donc pas l’authenticité d’un courriel. Même sans notification personnelle, les voyageurs des compagnies concernées doivent rester attentifs aux sollicitations inattendues.

1. Vérifiez votre réservation : saisissez directement l’adresse du site de la compagnie ou ouvrez son application officielle. Évitez les liens inattendus, même s’ils affichent vos véritables détails de vol.
2. Protégez vos données : ne transmettez ni mot de passe, ni code de validation, ni copie de passeport en réponse à un message. Méfiez-vous des demandes de paiement inattendues.
3. Réagissez en cas d’erreur : contactez la compagnie par son canal officiel. Si vous avez communiqué un mot de passe, changez-le immédiatement sur tous les comptes qui le réutilisent. Si vous avez fourni des coordonnées bancaires, prévenez aussi votre banque.

À ce stade, les compagnies ne signalent pas d’annulations de vols liées à cet incident. Rien ne permet non plus d’affirmer que les données bancaires des passagers ont été compromises. AeroSillage rappelle les vérifications avant un départ en avion et les démarches en cas de correspondance manquée.