Fuite chez Amadeus : ANA, Cathay Pacific et Malaysia Airlines disent que leurs passagers sont aussi touchés

La semaine dernière, nous avons écrit qu’une personne avait utilisé des identifiants valides pour entrer dans Amadeus, le système de réservation derrière de nombreuses compagnies aériennes du monde, et avait consulté des dossiers de réservation de passagers de Japan Airlines, Korean Air et Asiana. Depuis, trois autres compagnies ont dit que leurs clients sont concernés : All Nippon Airways (ANA), Cathay Pacific et Malaysia Airlines. Si vous avez réservé avec l’une d’elles entre août 2023 et septembre 2026, voici ce que chacune a dit.

ANA : environ 37 800 clients

Le 30 octobre 2026, ANA a dit (en anglais) qu’un rapport à jour d’Amadeus montrait que certaines données de réservation de clients avaient été consultées. Ça concerne environ 37 800 clients qui ont réservé avec ANA entre le 10 août 2023 et le 23 septembre 2026 :

• environ 36 100 clients : nom, numéro de réservation (PNR), date du voyage, itinéraire et classe de service
• environ 1 700 clients : tout ça, plus l’adresse courriel, le numéro de téléphone, le numéro de passeport, la nationalité, le numéro de grand voyageur, la compagnie aérienne, le numéro de vol, le numéro de billet électronique et le numéro de siège, entre autres

ANA dit qu’aucun numéro de carte de crédit ni mot de passe de compte n’est en cause, que les identifiants volés ont été révoqués et que la surveillance a été renforcée. Elle communiquera directement avec les clients touchés.

Cathay Pacific : environ 53 000 réservations

Cathay Pacific a dit (en anglais) le 30 octobre qu’Amadeus l’a avisée le 28 octobre et lui a envoyé plus de détails le 29 octobre. Environ 53 000 réservations de Cathay Pacific ont été touchées par un accès survenu entre août 2023 et septembre 2026. Dans la plupart des cas, le numéro de réservation, le nom du passager et les détails du vol ont été consultés. Dans un plus petit groupe, d’autres renseignements pourraient l’avoir été aussi, notamment le courriel et le téléphone, les documents de voyage et les numéros de grand voyageur.

Cathay dit qu’il n’y a aucune preuve que des renseignements financiers ou de paiement aient été consultés et que ses propres systèmes n’ont pas été touchés. Elle dit qu’Amadeus a réinitialisé les mots de passe, ajouté de la surveillance et n’a trouvé aucune utilisation abusive des données jusqu’ici. Cathay a avisé les autorités et avisera individuellement les clients touchés une fois les détails établis. Amadeus a dit à Reuters (en anglais) avoir pris connaissance d’une vulnérabilité touchant un environnement d’affichage des réservations de voyage, sans dire combien de compagnies ou de clients sont touchés.

Malaysia Airlines : pas encore de détails

Malaysia Airlines a dit dans une déclaration publiée sur son site Web le 31 octobre que l’incident pourrait avoir touché certains renseignements de clients traités par Amadeus entre août 2023 et septembre 2026, a rapporté The Star (en anglais). Elle dit que ses propres systèmes n’ont pas été compromis et qu’il n’y a aucune preuve jusqu’ici que des renseignements financiers aient été consultés. Elle n’a pas dit combien de clients sont touchés ni quels types de données, a noté Malay Mail (en anglais). Elle dit qu’elle donnera plus de détails à mesure qu’elle en apprendra.

Ce que ça signifie pour vous

Le risque est le même qu’avec les premières compagnies. Un numéro de réservation et votre nom peuvent suffire pour ouvrir une réservation, et un message frauduleux qui cite votre vrai vol est facile à croire. Si votre numéro de passeport ou vos coordonnées font partie des données consultées, attendez-vous à des tentatives plus ciblées. D’autres compagnies pourraient encore se manifester une fois leurs vérifications terminées.

Ce que vous pouvez faire

1. Surveillez les messages de votre compagnie aérienne. ANA et Cathay disent qu’elles communiqueront individuellement avec les clients touchés.
2. Ne vous fiez pas à un message seulement parce qu’il connaît votre vol. Ouvrez l’appli de votre compagnie ou tapez vous-même l’adresse de son site Web.
3. Ne payez jamais de frais imprévus et ne donnez jamais de numéro de carte pour « régler » une réservation après un appel, un courriel ou un texto inattendu.
4. Vérifiez vos réservations à venir et votre compte de grand voyageur pour repérer des changements que vous n’avez pas faits, et ajoutez un NIP ou une clé d’accès si la compagnie l’offre.
5. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de réserver vos voyages avec une adresse à part, pour qu’une fuite dans un système de réservation ne mène pas les fraudeurs directement à votre boîte principale. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• All Nippon Airways, « Regarding Unauthorized Access to Passenger Service System Provided by Amadeus » (en anglais), 30 octobre 2026
• Cathay Pacific, « Personal data security incident involving a third-party service provider » (en anglais), 30 octobre 2026
• Reuters via CNA, « Cathay Pacific says Amadeus breach affected 53,000 bookings » (en anglais), 30 octobre 2026
• The Star, « Malaysia Airlines says customer data may be affected by Amadeus breach » (en anglais), 2 novembre 2026
• Malay Mail, « Malaysia Airlines warns customers of data exposure in Amadeus cybersecurity breach » (en anglais), 1er novembre 2026