Finnair blant flyselskapene som er rammet av Amadeus-innbruddet

Finnair bekreftet mandag at kundedata er omfattet av datainnbruddet hos teknologileverandøren Amadeus. Fra før har Japan Airlines, ANA, Cathay Pacific, Singapore Airlines, Korean Air, Asiana Airlines, Malaysia Airlines og Condor bekreftet at de er berørt. Ifølge flere av flyselskapene pågikk den uautoriserte tilgangen fra august 2023 til september 2026.

Amadeus har ikke opplyst hvor mange flyselskaper eller passasjerer som er berørt totalt. Ifølge Reuters svarte selskapet ikke på spørsmål om hvor mange kunder som var rammet.

Flere flyselskaper har oppgitt tall

Japan Airlines og datterselskapet Japan Transocean Air oppgir rundt 92 000 berørte kunder, ifølge BleepingComputer. For rundt 2 000 av dem omfattet dataene også blant annet passnummer, meldte aeroTELEGRAPH. Japan Airlines fikk varsel fra Amadeus 23. oktober.

Cathay Pacific oppgir rundt 53 000 berørte bookinger. I de fleste tilfellene gjaldt det bookingreferanse, navn og flydetaljer, mens et mindre antall også inneholdt kontaktinformasjon, reisedokumentnumre eller bonusnumre. Singapore Airlines opplyste 3. november at rundt 46 000 bookinger var berørt, meldte Reuters.

ANA, Korean Air, Asiana Airlines og Malaysia Airlines har ikke oppgitt samlede tall. Det har heller ikke Condor, som bekreftet overfor aeroTELEGRAPH at datasett fra selskapet er berørt. Ifølge PhocusWire varslet Amadeus flyselskapene mellom 20. og 28. oktober.

Qantas har opplyst at Amadeus stanset problemet i september, og at selskapet undersøker om bookinger hos Qantas er berørt.

750 Finnair-reservasjoner ble åpnet

Ifølge opplysningene Finnair har fått fra Amadeus, gjaldt innbruddet flylister fra flere flyselskaper. Rundt 116 000 Finnair-reservasjoner sto på disse listene. Av dem ble rundt 750 åpnet, og 30 av disse gjelder pakkereiser fra Aurinkomatkat, turoperatøren som Finnair eier.

Finnair opplyser at bare en liten del av de åpnede reservasjonene fortsatt er aktive. Disse har fått nye reservasjonsnumre.

– Vi har krevd en detaljert redegjørelse for hendelsen fra Amadeus, sier Finnairs informasjonssikkerhetssjef Timo Arndal.

– Den detaljerte undersøkelsen pågår fortsatt, men Amadeus har allerede bekreftet overfor oss at det ikke er skaffet tilgang til kredittkortnumre eller passord. Finnairs systemer er ikke kompromittert, sier han.

Amadeus har ansvaret for å varsle kundene

Ifølge Finnair er Amadeus behandlingsansvarlig for tjenesten som ble rammet. Amadeus har meldt bruddet på personvernet til datatilsynet i et EU-land, slik personvernforordningen (GDPR) krever. Finnair oppgir ikke hvilket land det gjelder.

Som behandlingsansvarlig skal Amadeus også varsle personene som er berørt. Finnair skal sende e-post til kunder som har fått dataene sine åpnet, og som Amadeus har gitt flyselskapet kontaktinformasjon til. Finnair har også kontaktet Finlands nasjonale cybersikkerhetssenter.

Amadeus viser til en sårbarhet

Amadeus’ offentlige uttalelse, datert oktober 2026, er kort. Selskapet skriver at det ble kjent med en sårbarhet i et miljø som viser reisebestillinger, og at visse bestillingsdata var tilgjengelige gjennom denne sårbarheten. Ifølge Amadeus er det ikke funnet tegn på at betalings- eller finansdata er hentet ut, og heller ingen tegn på at sårbarheten er brukt til løsepengevirus.

Amadeus opplyser at sårbarheten er tettet, at overvåking og deteksjon er styrket, og at selskapet er i direkte dialog med kundene og myndighetene. Til heise online opplyste Amadeus at selskapet ble gjort oppmerksom på sårbarheten 21. september.

Ifølge Cathay Pacific brukte en uvedkommende innloggingsinformasjonen til en systemkonto hos Amadeus for å få tilgang til reservasjonsdata.

Hotellsystem rammet i september

I september ble også Amadeus’ bookingmotor for hoteller, iHotelier, rammet. En talsperson for Amadeus sa til Tageskarte at selskapet 11. september oppdaget uvanlig aktivitet i et programmeringsgrensesnitt knyttet til iHotelier. Den tyske hotellkjeden Maritim sendte 8 716 e-poster til berørte gjester.