JAL meldt toegangssporen in gegevens van 92.000 reizigers

Toegangssporen bij Amadeus: Japan Airlines (JAL) meldt ongeautoriseerde toegang tot reserveringsgegevens van circa 92.000 reizigers; bij ongeveer 2.000 van hen kwamen ook extra identificatie- en contactgegevens in beeld.

Voor een Nederlandse reisorganisatie die boekingen via een externe reserveringsleverancier verwerkt, betekent dit dat klantgegevens en de eerste inventarisatie van geraakte boekingen deels buiten de eigen systemen liggen. Als de leverancier niet snel kan aangeven welke dossiers zijn geraakt, blijft een waarschuwing algemeen, terwijl echte boekingscontext een overtuigend phishingbericht kan opleveren.

De reservering bevat meer dan een naam

JAL noemt Amadeus de aanbieder van zijn Passenger Service System, het systeem voor vluchtreserveringen, ticketuitgifte en inchecken. De periode waarin sporen van externe toegang zijn gevonden, loopt van 10 augustus 2023 tot 23 september 2026. Dit is het tijdvak waarin toegangssporen zijn vastgesteld; de melding zegt niet dat die toegang dagelijks plaatsvond.

JAL noemt voor ongeveer 90.000 van de circa 92.000 betrokken klanten een boekingscode (PNR), naam, reisdatum, traject en reisklasse. Bij circa 2.000 van hen stonden daarnaast e-mailadres, telefoonnummer, paspoortnummer, nationaliteit, frequent-flyernummer en luchtvaartmaatschappij, vluchtnummer, ticketnummer en stoelnummer. JAL zegt dat creditcardnummers en wachtwoorden niet zijn geraakt en dat er geen bewijs is dat gegevens zijn misbruikt.

JAL zegt dat Amadeus de noodzakelijke beveiligingsmaatregelen heeft afgerond. De luchtvaartmaatschappij wil betrokken klanten individueel informeren. Zij waarschuwt voor phishingmails, telefoontjes en nepwebsites die de JAL Group nabootsen. Een speciaal informatieloket ging op 29 oktober open.

ANA meldt toegangssporen bij Amadeus

Op 29 oktober meldde ook ANA dat Amadeus haar had geïnformeerd over ongeautoriseerde toegang tot het passagierssysteem en sporen in een deel van haar vluchtreserveringen. De luchtvaartmaatschappij onderzoekt de omvang met Amadeus en wil betrokken klanten informeren zodra details bekend zijn. De eerste verklaring noemt geen aantallen, tijdvak of gegevensvelden.

De circa 92.000 betrokken klanten zijn reizigers van JAL en dochtermaatschappij Japan Transocean Air. Dat aantal zegt niets over de omvang bij ANA. De twee meldingen leggen wel dezelfde afhankelijkheid bloot: reserveringen lopen via een externe dienstverlener, terwijl elke luchtvaartmaatschappij zelf moet vaststellen welke klantgegevens zijn geraakt.

De phishingwaarschuwing heeft een herkenbaar raakvlak met een TUI-klant die een WhatsApp-bericht kreeg met zijn geboekte hotel en reisdata, terwijl de bron van die gegevens toen nog niet vaststond. Dat was een ander incident en geen aanwijzing voor een verband. Echte reisdetails kunnen een frauduleus bericht geloofwaardiger maken.

Aflac maakt de detectievragen concreet

De Aflac Japan-casus raakt aan dezelfde vraag wie een incident kan onderzoeken en uitleggen, al liep de toegang daar via het eigen polishoudersportaal en niet via een boekingsleverancier. In de Aflac-inbraak waarbij circa 4,38 miljoen klantrecords betrokken waren duurde het van de eerste toegang op 10 juni tot ontdekking op 25 juni. Aflacs tijdlijn begint op 10 juni; een piek in processorbelasting bracht het incident op 25 juni aan het licht. Het bedrijf zegt dat de toegangsverzoeken op normaal gebruik leken, terwijl bewaking van grote aantallen gegevensopvragingen tekortschiet.

Dat is een andere technische route dan de melding over Amadeus. De overeenkomst zit in wat een organisatie achteraf moet kunnen vaststellen: welke accounts en dossiers zijn benaderd, welke gegevensvelden stonden erin, wanneer zag de leverancier de afwijking en welke stappen volgden? Voor JAL zijn vergelijkbare gegevens nodig om de individuele klantwaarschuwing te kunnen richten die de maatschappij zegt te willen sturen.

De openbare tijdlijn laat vragen open

De laatste datum in JAL’s periode met toegangssporen is 23 september. JAL zegt op 23 oktober van Amadeus te hebben gehoord dat gegevens extern waren benaderd. Dat is ongeveer een maand later. De publieke tijdlijn noemt niet wanneer Amadeus de toegang ontdekte, welke methode is gebruikt of wanneer de eerste klantrecords zijn afgeschermd.

Ook blijft het onderscheid tussen externe inzage en misbruik belangrijk. JAL beschrijft sporen van externe toegang tot een deel van de reserveringsgegevens. Het bedrijf meldt geen misbruik te hebben vastgesteld, maar zegt niet of gegevens zijn gekopieerd of alleen ingezien. BleepingComputer meldt dat Amadeus voor publicatie niet had geantwoord op vragen over de bredere impact bij andere luchtvaartmaatschappijen.

JAL zegt expliciet dat vluchten niet zijn geraakt. Voor organisaties die klant- of reisdata uitbesteden, hangt een bruikbare waarschuwing af van snelle melding, boekingsgegevens die aan de juiste reiziger zijn te koppelen en duidelijke afspraken over wie die persoon informeert.