Amadeus — công ty Tây Ban Nha cung cấp hệ thống phục vụ hành khách (đặt chỗ, xuất vé, check-in) cho nhiều hãng hàng không — đã thông báo cho các hãng rằng một bên trái phép đã truy cập dữ liệu đặt chỗ trên hệ thống của họ trong hơn ba năm. Theo Japan Airlines, việc truy cập trái phép kéo dài từ 10/08/2023 đến 23/09/2026. Amadeus cho Cathay Pacific biết kẻ gian đã dùng thông tin đăng nhập của một tài khoản hệ thống; Amadeus cho biết đã đặt lại mật khẩu, tăng cường giám sát và phát hiện, và chưa thấy bằng chứng dữ liệu bị lạm dụng.
Các hãng đã công bố đến nay:
- Japan Airlines (cùng Japan Transocean Air): khoảng 92.000 khách. Với khoảng 90.000 người, dữ liệu gồm mã đặt chỗ (PNR), họ tên, ngày bay, chặng bay và hạng ghế. Với khoảng 2.000 người khác, còn có email, số điện thoại, số hộ chiếu, quốc tịch, số hội viên bay thường xuyên và số chuyến, số vé, số ghế. JAL cho biết số thẻ và mật khẩu không bị lộ.
- ANA: khoảng 37.800 khách đặt chuyến do ANA khai thác trong cùng giai đoạn — họ tên, mã đặt chỗ, ngày bay, chặng bay; khoảng 1.700 người bị lộ thêm số hộ chiếu và quốc tịch. ANA cho biết thông tin thẻ và mật khẩu không bị lộ.
- Cathay Pacific: khoảng 53.000 lượt đặt chỗ, chủ yếu là mã đặt chỗ, họ tên và thông tin chuyến bay; một nhóm nhỏ hơn (chưa rõ số lượng) có thể kèm thông tin liên hệ, số giấy tờ đi lại và số hội viên. Cathay cho biết không có bằng chứng dữ liệu thanh toán bị truy cập và sẽ liên hệ riêng từng khách bị ảnh hưởng.
- Korean Air và Asiana Airlines đã xác nhận bị ảnh hưởng nhưng chưa nêu con số; Paddle Your Own Kanoo còn nêu hãng Condor của Đức.
Tổng số người bị ảnh hưởng chưa rõ. Mỗi hãng đếm theo cách khác nhau (số khách hoặc số lượt đặt chỗ), nên không thể cộng dồn đơn giản. Nền tảng Altéa của Amadeus có hơn 130 hãng hàng không khách hàng, vì vậy có thể còn hãng khác công bố.
Chưa xác nhận kẻ gian lấy được thông tin đăng nhập bằng cách nào. Paddle Your Own Kanoo cho rằng việc đặt lại mật khẩu gợi ý một vụ lừa đảo phi kỹ thuật (social engineering), chẳng hạn lừa bộ phận hỗ trợ cấp mật khẩu — đây là suy đoán của tờ báo, không phải kết luận của Amadeus. Lịch trình bay kèm họ tên và email là nguyên liệu tốt cho email lừa đảo, đây là rủi ro trước mắt với hành khách.
