Une vulnérabilité dans un environnement d’affichage des réservations d’Amadeus, le prestataire qui fait tourner les systèmes de réservation de nombreuses compagnies aériennes, a exposé pendant plus de trois ans les dossiers de passagers d’au moins 15 transporteurs, principalement asiatiques.
- Japan Airlines (92 000 clients), Cathay Pacific (53 000 dossiers) et Singapore Airlines (46 000) figurent parmi les compagnies touchées.
- L’accès non autorisé aurait couru d’août 2023 à septembre 2026.
- Noms, références de réservation et itinéraires ont été consultés ; Amadeus dit n’avoir aucune preuve d’accès aux données de paiement.
- Le risque principal pour les voyageurs d’affaires : un hameçonnage très ciblé.
Plan de l'article
- Que s’est-il passé chez Amadeus ?
- Quelles compagnies aériennes sont touchées ?
- Combien de temps la faille est-elle restée ouverte ?
- Quelles données ont été consultées ?
- Pourquoi les voyageurs d’affaires sont-ils particulièrement exposés ?
- Que peuvent faire les entreprises dès maintenant ?
- Qu’attendre de la suite de l’enquête ?
- Questions fréquentes
Que s’est-il passé chez Amadeus ? #
Selon un porte-parole cité par The Record le 4 novembre, Amadeus a récemment pris connaissance d’une vulnérabilité touchant un environnement d’affichage des réservations, par lequel certaines données de réservation étaient accessibles. Le groupe affirme avoir corrigé la faille et renforcé ses capacités de surveillance et de détection.
Les compagnies livrent une version plus précise du mode opératoire. Elles expliquent qu’un tiers non autorisé a utilisé des identifiants de connexion attribués à un compte système d’Amadeus. Le prestataire a procédé à une réinitialisation de mot de passe pour couper cet accès, d’après Paddle Your Own Kanoo.
Quelles compagnies aériennes sont touchées ? #
Le décompte a grossi au fil des annonces. Le 5 novembre, The Cyber Express recensait au moins 15 transporteurs : Japan Airlines, Cathay Pacific, Singapore Airlines, All Nippon Airways, Malaysia Airlines, Korean Air, Asiana Airlines et l’allemande Condor, ainsi que six compagnies régionales ou filiales japonaises. Qantas faisait encore l’objet de vérifications.
Les volumes publiés ne sont pas comparables entre eux. Japan Airlines parle de 92 000 clients, Cathay Pacific de 53 000 dossiers, Singapore Airlines d’environ 46 000 réservations et ANA de jusqu’à 37 800 profils. Korean Air, Asiana et Malaysia Airlines n’ont pas donné de chiffre. Amadeus a refusé de communiquer un total.
Combien de temps la faille est-elle restée ouverte ? #
La période d’exposition court d’août 2023 à septembre 2026, date à laquelle Amadeus a découvert le problème. Cathay Pacific indique avoir été prévenue par son prestataire le 28 octobre 2026. Plus de trois ans d’accès possible, donc, avant la détection.
Cette durée pèse lourd pour un acteur aussi central. Amadeus fournit sa plateforme passagers Altéa à environ 130 compagnies, selon Paddle Your Own Kanoo. Toutes ne sont pas concernées par l’incident, mais la dépendance d’un secteur entier à quelques fournisseurs de systèmes de réservation se voit ici clairement.
À lire Google propose des départs volontaires en France, mais pas dans l’IA ni le cloud
Quelles données ont été consultées ? #
Pour la grande majorité des dossiers, il s’agit des noms des passagers, des références de réservation, des itinéraires et des détails de vol. Singapore Airlines mentionne aussi les classes de réservation. Pour un sous-ensemble plus réduit, des adresses e-mail, des numéros de téléphone, des informations de documents de voyage et des numéros de fidélité ont pu être vus.
Chez Singapore Airlines, ce sous-ensemble sensible porte sur environ 620 dossiers. Les compagnies insistent : les cartes bancaires et comptes bancaires ne sont pas en cause, aucune réservation n’a été modifiée et leurs propres systèmes n’ont pas été compromis. Amadeus ajoute que la faille n’a pas servi à une attaque par rançongiciel.
Pourquoi les voyageurs d’affaires sont-ils particulièrement exposés ? #
Une référence de réservation associée à un nom et à un itinéraire réel est un matériau idéal pour un hameçonnage crédible. Un faux message annonçant un changement de vol ou un supplément à régler, qui cite le bon numéro de dossier et la bonne date, a de bonnes chances de tromper un salarié pressé entre deux rendez-vous.
Les déplacements professionnels concentrent ces risques : billets réservés par des tiers, assistants qui gèrent les agendas, agences de voyages d’affaires dans la boucle. Plusieurs compagnies, dont Malaysia Airlines, appellent leurs clients à la vigilance face aux messages demandant des informations personnelles ou financières.
À lire Marvell rachète Lumentum pour 115 milliards de dollars, pari géant sur la photonique de l’IA
Que peuvent faire les entreprises dès maintenant ? #
Le premier réflexe est d’informer les collaborateurs qui ont voyagé sur les compagnies citées depuis 2023 : aucun message ne doit être jugé fiable au seul motif qu’il mentionne une vraie réservation. Toute demande de paiement ou de mise à jour de passeport doit être vérifiée par le canal habituel de l’agence ou de la compagnie.
Singapore Airlines va contacter les passagers ayant des vols à venir pour leur permettre de changer leur référence de réservation exposée. Les gestionnaires de voyages ont intérêt à relayer ces démarches. Plus largement, l’incident rappelle de demander à ses fournisseurs critiques comment sont protégés et surveillés leurs comptes système.
Qu’attendre de la suite de l’enquête ? #
Amadeus dit être en dialogue direct avec ses clients et les autorités, sans détailler davantage l’origine des identifiants utilisés. De nouvelles compagnies pourraient encore se déclarer, comme l’a montré la succession d’annonces depuis fin octobre. Un bilan consolidé du nombre de passagers concernés reste à publier.
Questions fréquentes #
Les données bancaires des passagers ont-elles été volées ?
Amadeus indique n’avoir aucune preuve d’un accès aux données de paiement ou financières. Singapore Airlines et Cathay Pacific précisent aussi que les numéros de carte et de compte bancaire ne figurent pas parmi les informations consultées.
À lire Bourse : la tech trébuche sur ses dépenses d’IA, semaine décisive avec Palantir, AMD et Apple
Combien de compagnies aériennes sont concernées ?
Au 5 novembre 2026, The Cyber Express recensait au moins 15 transporteurs, dont Japan Airlines, Cathay Pacific, Singapore Airlines, ANA, Malaysia Airlines, Korean Air, Asiana et Condor. Amadeus n’a pas publié de bilan consolidé.
Que doit faire une entreprise dont les salariés voyagent sur ces compagnies ?
Prévenir les voyageurs du risque de messages frauduleux citant leur référence de réservation, vérifier les échanges avec l’agence de voyages et faire changer les références des vols à venir quand la compagnie le propose, comme le fait Singapore Airlines.
