Cathay Pacific annonce qu'une fuite chez Amadeus a exposé les données de 53 000 réservations

Le 30 octobre 2026, Cathay Pacific — la compagnie porte-drapeau de Hong Kong, dont le siège se trouve à Cathay City, sur l'aéroport international de Hong Kong — a révélé que les informations de passagers issues d'environ 53 000 de ses réservations de vols avaient été exposées à la suite d'une fuite chez son prestataire de technologie de réservation, Amadeus. La compagnie a indiqué que l'intrusion n'avait pas touché ses propres systèmes et provenait entièrement d'un accès non autorisé chez le tiers.

Ce qui s'est passé

Selon Cathay, un attaquant a utilisé un identifiant de compte système d'Amadeus pour accéder à des enregistrements de réservation couvrant la période d'août 2023 à septembre 2026. Amadeus a informé Cathay de l'incident le 28 octobre 2026 et a fourni de nouveaux détails le lendemain. La manière dont les identifiants ont été obtenus, ainsi que la date à laquelle l'intrusion a été détectée pour la première fois, n'ont pas été divulguées. Cathay a souligné que son propre environnement informatique n'avait pas été affecté, insistant sur le fait que l'exposition provenait de la plateforme tierce partagée et non de l'infrastructure de la compagnie.

Ce qui a été exposé

La plupart des enregistrements concernés contenaient des références de réservation, des noms de passagers et des détails de vol. Un sous-ensemble plus restreint a pu également inclure des adresses e-mail, des numéros de téléphone, des informations de documents de voyage ou des numéros de fidélité. Cathay a déclaré n'avoir trouvé aucune preuve que des informations de paiement ou financières aient été consultées. L'entreprise a précisé que le chiffre d'environ 53 000 correspondait à des réservations et non à des individus, et qu'elle n'avait pas encore établi combien de voyageurs distincts étaient concernés.

Un incident à l'échelle du secteur

La compromission d'Amadeus ne s'est pas limitée à Cathay. Plusieurs autres compagnies qui s'appuient sur le même système de réservation ont signalé l'exposition de données de passagers au cours de la même période, parmi lesquelles Japan Airlines — qui a indiqué que les données d'environ 92 000 de ses clients et de ceux de sa filiale Japan Transocean Air avaient fuité — All Nippon Airways, Korean Air, Asiana Airlines et d'autres. Amadeus a déclaré avoir maîtrisé l'incident, réinitialisé le mot de passe concerné et renforcé sa surveillance de sécurité. Cathay a indiqué avoir averti les autorités compétentes et contacter individuellement les clients concernés une fois leurs informations confirmées.