Japan Airlines (JAL) a annoncé avoir subi une faille de sécurité ayant entraîné la divulgation de données sensibles d'environ 92 000 de ses clients, en raison d'une vulnérabilité dans le système de services aux passagers (Passenger Service System) géré par l'entreprise technologique mondiale Amadeus. Cet incident constitue un indicateur des risques de sécurité liés au recours à des fournisseurs de services technologiques tiers dans le secteur de l'aviation.
Détails de l'intrusion
Selon l'annonce officielle, Amadeus a informé Japan Airlines le 23 octobre 2026 d'un accès non autorisé à ses systèmes qui s'est prolongé sur une longue période, du 10 août 2023 au 23 septembre 2026. Les données compromises ont varié selon les clients, incluant :
- Environ 90 000 clients : accès aux codes de réservation (PNR), aux noms, aux dates de vol, aux itinéraires et aux classes de voyage.
- Environ 2 000 clients : leurs données supplémentaires ont été compromises, notamment les adresses e-mail, les numéros de téléphone, les numéros de passeport, les nationalités, les numéros de grands voyageurs, ainsi que les détails des vols et des sièges.
Japan Airlines a confirmé que les numéros de cartes de crédit et les mots de passe ne faisaient pas partie des données piratées, tout en indiquant qu'il n'y avait actuellement aucune preuve d'utilisation abusive des informations fuite.
Portée de l'impact technique
Cet incident ne se limite pas à Japan Airlines ; Amadeus est un fournisseur technologique majeur pour l'industrie aéronautique mondiale, desservant plus de 400 compagnies aériennes et des millions d'hôtels. D'autres compagnies aériennes, dont All Nippon Airways (ANA), Asiana Airlines et Korean Air, ont confirmé avoir été touchées par cette faille de sécurité dans l'environnement d'affichage des réservations de voyage.
Pourquoi cette nouvelle est importante ?
Cette intrusion met en lumière les défis fondamentaux de la sécurité de la chaîne d'approvisionnement logicielle (Software Supply Chain Security). Lorsqu'un secteur vital comme l'aviation dépend d'une plateforme technologique centralisée unique, toute vulnérabilité sur cette plateforme se transforme immédiatement en menace transfrontalière et inter-entreprises. Bien qu'Amadeus ait annoncé avoir comblé la faille, la longue durée de l'intrusion (plus de trois ans) soulève des questions sur l'efficacité des systèmes de surveillance et de détection des intrusions dans les environnements de réservation numérique, et souligne la nécessité de réexaminer les protocoles de cybersécurité des fournisseurs de services technologiques qui disposent de droits d'accès aux données de millions de passagers.