Cathay Pacific affirme que les informations de quelque 53 000 réservations de vols ont été exposées à la suite d’un accès non autorisé à Amadeus IT Group, son fournisseur de technologies pour le secteur du voyage. Les propres systèmes de la compagnie aérienne n’ont pas été touchés.
Dans sa notification du 30 octobre 2026, le transporteur hongkongais a indiqué qu’un tiers non autorisé avait utilisé les identifiants d’un compte système d’Amadeus pour accéder aux données de réservation entre août 2023 et septembre 2026. L’incident soulève des questions sur la sécurité des identifiants, la surveillance des accès et l’ampleur de l’activité non autorisée dans les systèmes traitant les informations des passagers.
Selon l’avis de sécurité de Cathay Pacific, Amadeus n’a trouvé aucun indice d’utilisation abusive. Les enquêteurs n’ont pas précisé comment les identifiants avaient été obtenus ni quand l’intrusion avait été détectée pour la première fois.
Les données des passagers exposées lors de la faille chez Amadeus
Amadeus a informé Cathay le 28 octobre et fourni des informations supplémentaires le 29 octobre. Les quelque 53 000 enregistrements concernés correspondent à des réservations, et pas nécessairement à autant de passagers. Cathay n’a pas établi combien de voyageurs avaient été touchés.
La plupart des enregistrements contenaient des noms, des références de réservation et des détails de vol. Un sous-ensemble plus restreint pouvait également inclure des adresses e-mail, des numéros de téléphone, des informations figurant sur les documents de voyage ou des numéros de programme de fidélité. Cathay n’a trouvé aucun indice indiquant que des informations de paiement ou des données financières avaient été consultées.
Ces informations pourraient faciliter des campagnes d’hameçonnage ciblées ou l’usurpation de l’identité de la compagnie aérienne. Une autre faille de Brevo qui a permis l’envoi d’e-mails d’hameçonnage aux abonnés de Trezor montre comment des services tiers compromis peuvent faciliter des communications frauduleuses. Aucun détournement de ce type n’a été confirmé dans le cas de Cathay.
D’autres compagnies aériennes ont signalé des expositions de données liées à Amadeus. Japan Airlines a recensé quelque 92 000 clients concernés, dont des passagers de Japan Transocean Air, tandis qu’All Nippon Airways en a signalé environ 37 800.
Des inquiétudes similaires concernant les informations détenues par des fournisseurs externes sont apparues lors de la faille de Frontline Education ayant exposé des dossiers de salariés.
Amadeus a procédé à une réinitialisation des mots de passe et renforcé ses capacités de surveillance et de détection. La notification ne permet pas d’établir si l’attaquant a conservé un accès continu pendant cette période.
Mesures de sécurité et poursuite de l’enquête
L’utilisation signalée d’identifiants de comptes système fait de la gestion des accès et de la surveillance des priorités pour les organisations qui dépendent de fournisseurs externes. Des identités de confiance compromises ont également joué un rôle dans l’attaque de la chaîne logistique npm Shai-Hulud, même si sa méthode d’attaque était différente.
Les équipes de sécurité peuvent réduire les risques comparables en prenant les mesures suivantes :
- Restreindre l’accès des fournisseurs. Appliquer le principe du moindre privilège, segmenter le réseau et utiliser des autorisations juste-à-temps lorsque ces mesures sont prises en charge.
- Sécuriser les comptes de service. Utiliser des identités gérées, des identifiants à courte durée de vie et une gestion centralisée des secrets.
- Surveiller les activités suspectes. Détecter les authentifications inhabituelles, les requêtes de base de données et les exportations importantes de données.
- Limiter l’exposition des données. Limiter l’accès des fournisseurs aux dossiers clients et appliquer des politiques de conservation.
- Évaluer les contrôles des fournisseurs. Examiner les mesures de protection de l’authentification, les journaux d’accès, les évaluations de sécurité et les exigences de notification.
- Tester les plans de réponse aux incidents. Simuler la compromission d’un compte fournisseur, l’exposition de données clients et les procédures de notification coordonnées.
Cathay examine les enregistrements concernés et prévoit d’informer individuellement les clients une fois leurs informations confirmées. La compagnie a également informé les autorités compétentes.
L’enquête doit encore établir comment les identifiants ont été compromis et quand l’activité a été détectée. Ces conclusions permettront de déterminer l’ampleur réelle de l’incident et de savoir si des mesures de protection supplémentaires sont nécessaires.
À lire également : la récente faille de sécurité de Good Smile Company constitue un autre exemple d’accès non autorisé à des informations clients et illustre les difficultés à déterminer quelles données ont été exposées.