Finnair meldt 116.000 reserveringen op lijsten bij Amadeus-lek

Finnair meldt dat circa 116.000 reserveringen op lijsten bij het Amadeus-incident stonden en ongeveer 750 voor onderzoek zijn geopend; 30 daarvan betroffen pakketreizen van Aurinkomatkat.

De eerste praktische vraag is welke eigen boekingen op de leverancierslijst staan. Een Nederlandse reisorganisatie of werkgever die via een reisbureau boekt, moet ook weten wie het dossier beheert en wie de betrokken reiziger of medewerker kan informeren. De Finnair-cijfers laten twee stappen zien: een boeking op een betrokken lijst en een reservering die voor onderzoek is geopend.

Finnair scheidt de lijst van de onderzochte boekingen

Finnair zegt dat de informatie van Amadeus komt en dat de lijsten reserveringen van meerdere luchtvaartmaatschappijen bevatten. Slechts een deel van de onderzochte reserveringen is nog actief. Voor die boekingen heeft Finnair nieuwe reserveringsnummers afgegeven om ongeoorloofde toegang te voorkomen. Volgens Amadeus zijn geen creditcardnummers of wachtwoorden ingezien; Finnair zegt dat zijn eigen systemen niet zijn geraakt en dat de ongeoorloofde activiteit is gestopt.

Finnair noemt Amadeus de verwerkingsverantwoordelijke voor de getroffen dienst. Amadeus heeft volgens de maatschappij een privacytoezichthouder in een EU-land geïnformeerd en moet betrokken personen op de hoogte brengen. Finnair stuurt zelf bericht aan klanten van wie het contactgegevens van Amadeus heeft ontvangen en zegt het Finse Nationaal Cyber Security Centrum te hebben ingelicht. De maatschappij waarschuwt voor verdachte e-mails, sms-berichten en telefoontjes.

Meerdere luchtvaartmaatschappijen publiceren eigen aantallen

Thai Airways meldde op 9 november dat gegevens uit circa 60.529 passagiersboekingen mogelijk zonder toestemming zijn ingezien tussen 10 augustus 2023 en 23 september 2026. Als basisgegevens noemt de maatschappij naam, boekingscode, reisdatum, route en reisklasse. Bij ongeveer 376 boekingen konden ook contact-, paspoort-, frequentflyer-, vlucht-, ticket- of stoelgegevens staan.

JAL meldde toegangssporen in reserveringen van circa 92.000 reizigers, met extra persoonsgegevens bij ongeveer 2.000 klanten. Op 29 oktober meldde ANA ook toegangssporen, zonder het aantal betrokken klanten te noemen. De JAL- en ANA-meldingen over Amadeus, met 92.000 JAL-reserveringen en toen nog geen ANA-aantal beschrijven die eerste meldingen. ANA publiceerde op 30 oktober vervolgens een eigen telling van circa 37.800 klanten, van wie ongeveer 1.700 dossiers ook contact- en paspoortgegevens konden bevatten.

Cathay Pacific meldde dat ongeveer 53.000 boekingen betrokken waren, met mogelijk contact- en reisdocumentgegevens in een kleinere groep, en dat de onbevoegde partij inloggegevens gebruikte die aan een Amadeus-systeemaccount waren toegewezen. De aantallen zijn niet zonder meer bij elkaar op te tellen. Finnair spreekt over reserveringen op lijsten en reserveringen die voor onderzoek zijn geopend; de andere maatschappijen beschrijven boekingsgegevens die mogelijk zijn ingezien. De meldingen gebruiken verschillende eenheden en omschrijvingen.

De toegang besloeg meerdere jaren

De Noorse veiligheidsdienst NSM zegt dat Amadeus meldde dat een actor minstens drie jaar toegang tot systemen had en dat de kwetsbaarheid op 23 september 2026 is gesloten. JAL noemt 10 augustus 2023 tot 23 september 2026 als periode met toegangssporen; Thai zegt dat zijn records in die periode mogelijk zijn ingezien. NSM noemt als mogelijk betrokken gegevens identiteit en route, paspoortnummer en nationaliteit, contactinformatie, ticket- en vluchtnummer, stoel, aangevraagde reisservice, reisbureau en tekst uit een vrij tekstveld.

NSM riep Noorse organisaties op om risico’s te beoordelen bij toekomstige reizen die vóór 23 september waren geboekt en om inloggegevens bij reisbureaus te wijzigen. Het zegt dat Amadeus door veel Noorse reisorganisaties wordt gebruikt, waaronder Berg-Hansen en Egencia. Voor een Nederlands reisbureau of een team dat zakelijke reizen beheert, is daarom van belang of eigen reserveringen via dezelfde leverancier zijn verwerkt en welke partij de reiziger kan bereiken.

Reisdetails kunnen een phishingbericht overtuigender maken, al is daarmee geen misbruik in dit Amadeus-incident vastgesteld. In een ander geval kreeg een TUI-klant via WhatsApp zijn geboekte hotel en reisdata te zien, terwijl de herkomst daarvan toen nog onduidelijk was. Finnair waarschuwt voor berichten en telefoontjes die echte reisinformatie kunnen gebruiken. NU.nl meldt dat Norwegian is getroffen, maar geen aantal betrokken passagiers bekendmaakte.

De openbare melding laat de omvang open

Amadeus schreef in oktober dat een kwetsbaarheid in de omgeving voor het weergeven van reisboekingen bepaalde gegevens toegankelijk maakte, zonder aanwijzingen voor inzage in betaal- of financiële gegevens. Het zegt de kwetsbaarheid te hebben verholpen en extra toezicht te hebben ingericht. De verklaring noemt geen aantal getroffen reserveringen, klanten of gegevensvelden en vermeldt niet wanneer de toegang begon.

De kop van Paddle Your Own Kanoo noemt alle 116.000 Finnair-reserveringen “compromised”. Finnairs eigen melding maakt een smaller onderscheid: de 116.000 reserveringen stonden op betrokken lijsten, terwijl circa 750 voor onderzoek zijn geopend. Finnair zegt niet hoeveel daarvan zijn gekopieerd, welke velden bij Finnair-reserveringen in beeld stonden of hoe de lijsten over andere maatschappijen zijn verdeeld. De tellingen blijven afhankelijk van informatie die Amadeus per klant verstrekt.

JAL, Finnair, Thai Airways, ANA en Cathay Pacific voegen elk een eigen klanttelling toe aan hetzelfde leveranciersincident. Die cijfers vormen geen gezamenlijke eindstand en beschrijven niet allemaal hetzelfde stadium van toegang. Tot Amadeus de omvang per klant verder uitsplitst, moeten reisorganisaties hun eigen blootstelling vaststellen aan de hand van boekingen en contactlijsten die de leverancier aan hen koppelt.