Fuite chez Amadeus : Thai Airways et Finnair disent que des dizaines de milliers de réservations sont touchées

Deux autres transporteurs aériens disent que leurs passagers sont touchés par la fuite chez Amadeus, l’entreprise dont le logiciel stocke et affiche les réservations de nombreuses compagnies aériennes dans le monde. Le 9 novembre 2026, Thai Airways International (THAI) et Finnair ont toutes deux publié une déclaration. THAI compte environ 60 529 dossiers de passagers et Finnair environ 116 000 réservations. Les deux disent que les données de carte n’ont pas été touchées et que leurs propres systèmes n’ont pas été piratés.

Thai Airways : environ 60 529 dossiers de passagers

Dans son annonce (en anglais), THAI dit qu’Amadeus l’a informée d’un accès non autorisé à des données de réservation stockées dans ses systèmes entre le 10 août 2023 et le 23 septembre 2026. Pour environ 60 529 dossiers de passagers, THAI dit que les éléments suivants ont pu être consultés :

• nom du passager
• référence de réservation (PNR)
• date du voyage
• itinéraire
• classe de cabine

Pour environ 376 de ces dossiers, d’autres éléments ont pu s’ajouter : adresse courriel, numéro de téléphone, numéro de passeport, nationalité, numéro de grand voyageur, numéro de vol, numéro de billet, numéro de siège et d’autres renseignements connexes.

THAI dit que les renseignements de carte de crédit n’ont pas été touchés, et que ses propres systèmes et activités ne l’ont pas été non plus. Elle dit qu’Amadeus a révoqué les identifiants utilisés pour l’accès non autorisé, réinitialisé tous les mots de passe touchés et ajouté de la surveillance. THAI a informé les autorités concernées et dit qu’elle avisera individuellement les passagers touchés une fois les détails vérifiés. (L’article du Bangkok Post (en anglais) reprend le chiffre de 60 529 dans son texte, mais son sous-titre indique 50 529 ; l’avis de THAI dit environ 60 529.)

Finnair : environ 116 000 réservations

Le communiqué de Finnair (en anglais) dit qu’Amadeus lui a appris que la fuite touchait des listes de vols de plusieurs transporteurs, dont environ 116 000 réservations de Finnair. Parmi celles-ci, selon Amadeus, environ 750 réservations de Finnair « ont été ouvertes pour examen », dont 30 liées à des forfaits vacances Aurinkomatkat. Finnair dit que seule une fraction de ces réservations est encore active, et qu’elle leur a attribué de nouveaux numéros de réservation pour que les anciens ne puissent plus servir.

« Nous avons exigé d’Amadeus des éclaircissements détaillés sur cet incident », a dit Timo Arndal, chef de la sécurité de l’information de Finnair. Finnair dit qu’Amadeus a confirmé qu’aucun numéro de carte de crédit ni mot de passe n’a été consulté, et que les systèmes de Finnair n’ont pas été compromis.

Finnair explique aussi qui est responsable de quoi. Amadeus est le responsable du traitement pour le service touché, a avisé une autorité de protection des données d’un pays de l’UE en vertu du RGPD, et doit informer les personnes dont les données sont en cause. Finnair dit qu’elle écrira aussi aux clients dont Amadeus lui a transmis les coordonnées, et que vous pouvez joindre Amadeus directement à dataprotection@amadeus.com. Finnair a aussi communiqué avec le Centre national de cybersécurité de la Finlande.

Le lien avec l’ensemble de la fuite chez Amadeus

C’est notre quatrième article sur cette fuite. Dans le premier, Japan Airlines, Korean Air et Asiana disaient que quelqu’un avait utilisé des identifiants valides pour atteindre des dossiers de réservation. Puis ANA, Cathay Pacific et Malaysia Airlines se sont manifestées, suivies de Singapore Airlines avec environ 46 000 réservations. La répartition chez THAI ressemble à la leur : la plupart des dossiers montrent un nom, une référence de réservation et un itinéraire, et quelques centaines montrent aussi des coordonnées et des renseignements de passeport.

Chaque transporteur ne compte que ses propres passagers, d’où les chiffres qui arrivent une déclaration à la fois. Amadeus n’a pas publié de total.

SAS a depuis dit que 350 164 de ses passagers avaient été touchés, surtout dans de plus anciennes réservations. Nous en parlons dans un article distinct.

Ce que cela signifie pour vous

Si vous avez réservé avec THAI ou Finnair entre août 2023 et septembre 2026, votre réservation peut faire partie des données touchées. Un nom, une référence de réservation et un itinéraire suffisent pour des messages frauduleux convaincants, et sur bien des sites de transporteurs, une référence et un nom de famille ouvrent la réservation. Rien de ce que les deux transporteurs ont décrit ne comprend votre numéro de carte ou le mot de passe de votre compte.

Ce que vous pouvez faire

1. Surveillez les messages de THAI, de Finnair ou d’Amadeus. Si votre référence de réservation a changé, utilisez la nouvelle.
2. Vérifiez vous-même vos réservations à venir dans l’appli du transporteur ou en tapant son adresse web, pas par un lien reçu par courriel ou texto.
3. Regardez votre compte Royal Orchid Plus ou Finnair Plus pour des échanges de milles ou des changements que vous n’avez pas faits, et assurez-vous que le mot de passe ne sert nulle part ailleurs.
4. Ne payez pas de frais imprévus et ne donnez pas de codes après un appel, un courriel ou un texto inattendu qui cite votre vol. Connaître votre réservation ne rend pas un message authentique.
5. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Fuite chez Amadeus : réservations aériennes consultées, dont celles de JAL, Korean Air et Asiana : comment la fuite a été découverte.
• Fuite chez Amadeus : ANA, Cathay Pacific et Malaysia Airlines : le deuxième groupe de transporteurs à se manifester.
• Singapore Airlines dit qu’environ 46 000 réservations ont été touchées par la fuite chez Amadeus : le troisième.
• Fuite chez Amadeus : SAS dit que les détails de réservation de 350 164 passagers ont été atteints : le décompte de SAS, surtout de plus anciennes réservations, avec des références, des dates et le nombre de passagers.

Sources

• Thai Airways International, Amadeus Reports Unauthorized Access to THAI Passenger Data (en anglais), 9 novembre 2026
• Finnair, Finnair customer data included in global Amadeus data breach (en anglais), 9 novembre 2026
• Bangkok Post, THAI passenger data compromised in Amadeus security breach (en anglais), 10 novembre 2026
• Cybernews, Amadeus breach compromises 116,000 Finnair bookings (en anglais), 10 novembre 2026