Violation de données des passagers d'Air India via SITA

Le 21 mai 2021, Air India a notifié à ses clients qu'une compromission de son fournisseur informatique de services aux passagers avait exposé les données personnelles d'environ 4,5 millions de passagers dans le monde. L'intrusion ne s'est pas produite dans les systèmes propres d'Air India : il s'agissait d'une compromission de la chaîne d'approvisionnement de SITA, l'entreprise basée à Genève dont le système de services aux passagers (PSS) sous-tend les réservations d'une grande partie de l'industrie aérienne mondiale.

Ce qui s'est passé

SITA a détecté un accès non autorisé à son infrastructure Passenger Service System le 25 février 2021 et a divulgué l'incident publiquement le 4 mars 2021. Comme le PSS de SITA est partagé entre les écosystèmes Star Alliance et OneWorld, la compromission s'est propagée à au moins dix transporteurs, dont Singapore Airlines, Malaysia Airlines, Cathay Pacific, Finnair, Jeju Air, Lufthansa, Air New Zealand, Scandinavian Airlines et Polish Airlines.

Air India, membre de Star Alliance, figurait parmi les plus durement touchés. SITA a transmis la liste des personnes concernées les 25 mars et 5 avril 2021, après quoi la compagnie a enquêté et divulgué l'ampleur au public en mai.

Impact

• Environ 4,5 millions de passagers ont vu leurs données exposées.
• Les enregistrements compromis couvraient les réservations effectuées entre le 26 août 2011 et le 3 février 2021 — soit près de dix ans d'historique client.
• Les champs exposés comprenaient noms, dates de naissance, coordonnées, informations de passeport, données de billetterie, données de fidélité Star Alliance et Air India, ainsi que les informations de cartes de paiement.
• Fait crucial, les codes de vérification de carte (CVV/CVC) et les mots de passe de compte n'étaient pas stockés dans le système concerné et n'ont pas été exposés.

Air India a conseillé aux voyageurs affectés de modifier le mot de passe de son portail et de rester vigilants face à la fraude. Elle a également réinitialisé par précaution les mots de passe des membres de son programme de fidélité.

Pourquoi c'est important

La compromission de SITA illustre parfaitement le risque de concentration dans l'informatique aéronautique partagée. Parce qu'un seul fournisseur traite les réservations de dizaines des plus grandes compagnies aériennes du monde, une seule compromission a exposé simultanément des passagers sur plusieurs continents et alliances. Pour l'Inde en particulier, elle demeure l'une des plus importantes expositions de données de voyage liées aux passeports des citoyens, survenue alors que le pays débattait de son cadre de protection des données personnelles. L'incident a confirmé que la posture de protection des données d'une organisation ne vaut que celle des tiers auxquels elle externalise ses traitements essentiels — une leçon qui a renforcé les attentes en matière de gestion des risques fournisseurs et de notification des violations dans le secteur aéronautique.