Amadeus : faille de données touche 7 compagnies aériennes

Un prestataire de réservation mondial au cœur d’une fuite multi-compagnies

Dans les premiers jours de novembre 2026, plusieurs grandes compagnies aériennes ont communiqué sur un incident de sécurité affectant leurs données de réservation. L’origine commune de ces notifications : Amadeus, l’un des principaux fournisseurs mondiaux de systèmes de gestion des réservations aériennes, utilisé par des centaines de transporteurs et d’agences de voyage à travers le monde. Ce système centralise des centaines de millions de dossiers de voyageurs et constitue une infrastructure critique pour l’industrie du transport aérien mondial.

Singapore Airlines (SIA) a été l’une des premières compagnies à communiquer publiquement, indiquant qu’environ 46 000 dossiers de réservation seraient potentiellement affectés. Pour la grande majorité de ces dossiers, les données exposées se limitent aux noms des passagers, aux références de réservation, aux itinéraires et aux classes de voyage. Pour un sous-ensemble de 620 dossiers, des informations plus sensibles pourraient avoir été consultées : adresses e-mail, numéros de téléphone, détails des documents de voyage (passeports, visas) et numéros du programme de fidélité KrisFlyer.

SIA a tenu à préciser que ses propres systèmes informatiques n’ont pas été la cible directe de l’intrusion. La compagnie affirme que l’incident résulte d’une vulnérabilité identifiée dans un environnement de présentation des réservations géré par Amadeus, et non d’une violation de ses propres systèmes IT. Cette distinction est importante d’un point de vue réglementaire et de responsabilité, mais ne change pas le risque pour les passagers concernés.

D’autres compagnies asiatiques ont également rapporté des impacts significatifs. Cathay Pacific aurait vu environ 53 000 dossiers de réservation compromis, Japan Airlines environ 92 000 clients affectés. Korean Air, Asiana Airlines, Malaysia Airlines et All Nippon Airways (ANA) ont également signalé des répercussions, sans que des chiffres précis aient été rendus publics pour chacune à ce stade. L’ampleur totale de l’incident reste donc à déterminer.

Amadeus a confirmé l’existence d’une vulnérabilité dans ce qu’il décrit comme un environnement de présentation des réservations de voyage, sans donner davantage de détails techniques sur la nature exacte de la faille. Le prestataire a précisé que les données bancaires ou de carte de crédit n’ont pas été exfiltrées et qu’aucune réservation n’a été modifiée. Des investigations sont en cours pour déterminer l’étendue exacte de l’incident et le nombre total de clients affectés à travers l’ensemble des compagnies utilisant ses services.

Cette affaire rappelle une brèche antérieure chez un prestataire similaire en 2023, qui avait déjà mis en évidence la fragilité de la chaîne de dépendances dans le secteur du transport aérien. Les systèmes de réservation centralisés comme Amadeus, Sabre ou Travelport constituent des nœuds critiques d’infrastructure dont la compromission peut avoir un effet domino sur des dizaines de compagnies et des millions de voyageurs simultanément.

La temporalité de l’accès est également un sujet de préoccupation. Un rapport mentionne une fenêtre d’exposition potentielle entre août 2023 et septembre 2026, ce qui suggère que l’accès non autorisé aurait pu persister plusieurs années avant d’être détecté. SIA n’a pas confirmé cette période dans sa propre communication officielle, et ce détail reste à vérifier auprès d’Amadeus.

Les passagers des compagnies concernées devraient recevoir des notifications individuelles. En attendant, ceux ayant voyagé avec l’une de ces compagnies devraient surveiller attentivement toute communication suspecte utilisant leurs données de voyage comme prétexte (phishing ciblé, smishing, vishing), changer leurs mots de passe de fidélité et activer la double authentification sur leurs comptes de programme grand voyageur.

L’exposition des tiers de confiance, un risque systémique pour l’aviation mondiale

Cette affaire illustre avec acuité le risque de concentration inhérent à l’écosystème technologique du transport aérien. Un seul prestataire comme Amadeus dessert des centaines de compagnies et gère plusieurs centaines de millions de dossiers de voyageurs à l’échelle mondiale. Une faille dans ses systèmes produit mécaniquement une exposition à grande échelle, même si les systèmes des compagnies individuelles restent intacts. C’est précisément ce modèle de sous-traitance centralisée qui rend ce type d’incident si difficile à prévenir pour les compagnies elles-mêmes.

Du point de vue réglementaire, cet incident devrait renforcer la pression exercée par les autorités de protection des données sur les grands prestataires technologiques du secteur aérien. En Europe, le RGPD impose des délais stricts de notification (72 heures après la connaissance d’une violation) et des exigences de mise en œuvre de mesures de sécurité adaptées. Si la faille a effectivement persisté plusieurs années, des sanctions significatives pourraient être envisagées par les autorités de contrôle compétentes dans les pays concernés.

Pour les compagnies aériennes, cet incident met en évidence la nécessité d’une évaluation rigoureuse et continue de la posture de sécurité de leurs prestataires critiques. Les contrats avec ce type d’acteurs devraient inclure des clauses d’audit de sécurité, des obligations de notification rapide en cas d’incident et des mécanismes de partage des responsabilités clairement définis. La directive NIS2, entrée en application en 2024, impose d’ailleurs ce type d’exigences aux opérateurs de services essentiels, dont font partie les grandes compagnies aériennes européennes.

Plus fondamentalement, cet incident invite à réfléchir à la résilience d’une industrie entière dont les données opérationnelles critiques sont confiées à un oligopole de quelques prestataires technologiques. La diversification des dépendances et le renforcement des exigences de sécurité pour les tiers devraient être des priorités pour les directions de la sécurité informatique des grandes compagnies aériennes, au même titre que la sécurité de leurs propres systèmes.

Ce qu’il faut retenir

• Si vous avez voyagé avec Singapore Airlines, Cathay Pacific, Japan Airlines, Korean Air, Asiana, Malaysia Airlines ou ANA, vos données de réservation pourraient être concernées.
• Les données de paiement sont hors de portée : la priorité est de sécuriser vos comptes de fidélité et de rester vigilant face aux tentatives de phishing ciblé utilisant vos informations de voyage.
• Pour les RSSI : auditer les droits d’accès et les mesures de sécurité de vos prestataires de systèmes de réservation devient urgent, dans le cadre des obligations NIS2 et RGPD.