Wyciek danych z Amadeusa: rezerwacje lotnicze od 2023 r.

Wyciek danych z systemu rezerwacji firmy Amadeus objął kody rezerwacji, nazwiska i trasy pasażerów kilku azjatyckich linii, u części osób także numery paszportów. Według Japan Airlines ślady nieuprawnionego dostępu obejmują okres od 10 sierpnia 2023 do 23 września 2026 roku. Na swoich stronach potwierdziły go JAL, Cathay Pacific i Asiana Airlines. Według mediów dotyczy też Korean Air, ANA i Malaysia Airlines. LOT korzysta z systemu rezerwacji Amadeusa, ale na stronie jego biura prasowego nie ma komunikatu w tej sprawie. Nie znaleźliśmy też potwierdzenia, by wyciek objął jakąkolwiek linię z Europy. Pasażerowie wymienionych linii powinni uważać na fałszywe e-maile i telefony o “zmianie lotu”. Oszust może w nich podać prawdziwy numer rezerwacji. Stan na 1 listopada 2026 roku, godz. 18:10, według komunikatów linii, oświadczenia Amadeusa i strony biura prasowego LOT.

Wyciek danych z Amadeusa: co się stało i od kiedy

Amadeus dostarcza liniom lotniczym system obsługi pasażera (PSS, Passenger Service System), w którym prowadzą rezerwacje, sprzedaż biletów i odprawę. Według Cathay Pacific firma obsługuje setki linii na świecie. Japan Airlines podaje, że 23 października 2026 roku Amadeus poinformował ją o śladach dostępu z zewnątrz do części danych rezerwacji.

Sam Amadeus w krótkim oświadczeniu pisze o podatności w “środowisku wyświetlania rezerwacji”, przez którą dostępne były niektóre dane z rezerwacji. Firma zapewnia, że nie ma dowodów dostępu do danych płatniczych ani finansowych i że nic nie wskazuje na atak ransomware. Podatność według Amadeusa jest usunięta, a monitoring wzmocniony.

Linie opisują wejście inaczej. Cathay Pacific i Asiana, powołując się na Amadeusa, piszą o dostępie z użyciem danych logowania przypisanych do konta w jego systemie. Cathay dodaje, że Amadeus zresetował hasło. Obie wersje mogą być prawdziwe naraz, jeśli podatność ujawniła hasło do konta. To nasze przypuszczenie, Amadeus go nie potwierdził.

Niemiecki serwis heise opisał 13 października podatność w systemie rezerwacji Amadeusa, którą zgłosili mu czytelnicy. W sprawdzeniu redakcji dało się wyszukać pasażera po nazwisku i zobaczyć m.in. datę urodzenia, kod rezerwacji, dane kontaktowe oraz dane dowodu i paszportu. Duża część rekordów dotyczyła lotów Lufthansy i Condora. Amadeus powiedział heise, że o “potencjalnej podatności” dowiedział się 21 września. Dwa dni później kończy się okres śladów dostępu podany przez JAL, a opis podatności brzmi tak samo jak w oświadczeniu. Amadeus nie napisał jednak wprost, że to ta sama sprawa.

Na zdjęciu wyróżniającym: stanowiska odprawy Japan Airlines w terminalu 2 lotniska Narita. Fot. N509FZ, Wikimedia Commons, licencja CC BY-SA 4.0.

Które linie potwierdziły wyciek i jakie dane wyciekły

Japan Airlines, Cathay Pacific i Asiana Airlines potwierdziły wyciek w komunikatach na swoich stronach. O Korean Air, ANA i Malaysia Airlines wiemy z mediów, bo ich komunikatów nie udało nam się otworzyć u źródła.

Żadna z linii, których komunikaty przeczytaliśmy, nie podaje, że wyciekły dane kart płatniczych. JAL pisze wprost, że nie wyciekły numery kart ani hasła, i że nie ma dowodów na wykorzystanie danych. Liczb z różnych linii nie da się zsumować: JAL liczy klientów, Cathay rezerwacje, a Amadeus łącznej skali nie podał. BleepingComputer pytał firmę, czy sprawa dotyczy kolejnych linii i krajów, i nie dostał odpowiedzi.

Czy wyciek danych dotyczy LOT-u i pasażerów z Polski

Do chwili publikacji nie znaleźliśmy potwierdzenia, by wyciek objął rezerwacje LOT-u albo innej linii z Europy. LOT korzysta jednak z systemu PSS Amadeusa, co opisuje komunikat Amadeusa z 2021 roku o rozszerzeniu współpracy. Na stronie biura prasowego LOT najnowszy komunikat pochodzi z 30 października i dotyczy wycofania samolotów Embraer E170. O Amadeusie nie ma tam nic. Komunikatów Lufthansy, Condora ani Wizz Aira w tej sprawie nie znaleźliśmy.

Sprawdzenie heise pokazuje, że przez podatność dało się zobaczyć także rekordy z lotów Lufthansy i Condora. Nie oznacza to, że ktoś te konkretne rekordy pobrał w latach 2023–2026. Takie potwierdzenie mogą dać tylko linie albo Amadeus.

Wyciek dotyczy rezerwacji konkretnych linii, niezależnie od obywatelstwa pasażera. Wśród poszkodowanych może więc być Polak, który w latach 2023–2026 leciał JAL-em, Cathay Pacific albo liniami koreańskimi. Linie powiadamiają klientów e-mailem na adres z rezerwacji.

Numer rezerwacji lotu i nazwisko: co da się z nimi zrobić

W wielu liniach numer rezerwacji (PNR) razem z nazwiskiem wystarcza, żeby otworzyć zarządzanie rezerwacją na stronie przewoźnika. Na przykład formularz “Zarządzaj rezerwacją” LOT-u wymaga tylko tych dwóch pól. Potem można zmienić datę lotu, wybrać miejsce, poprosić o fakturę albo dokupić bagaż i posiłek. Wyciek z Amadeusa objął właśnie tę parę: u około 90 tys. klientów JAL kod rezerwacji i nazwisko.

Dla oszusta te dane są przede wszystkim wiarygodną przynętą. Wiadomość o “zmianie godziny lotu” z prawdziwym numerem rezerwacji, trasą i datą wygląda jak korespondencja z linii. Dlatego JAL ostrzega przed e-mailami, telefonami i stronami podszywającymi się pod linię. Asiana radzi nie klikać linków i załączników nieznanego pochodzenia.

Niemiecki urząd BSI przypomniał w rozmowie z heise, że między wyciekiem a kampanią phishingową może minąć dużo czasu. Według urzędu przed terminem podróży trzeba szczególnie krytycznie czytać e-maile o zaległych płatnościach i wcześniejszej odprawie. W razie wątpliwości BSI radzi sprawdzić sprawę przez oficjalny kontakt linii. Jak ocenić link w takiej wiadomości, zanim go klikniesz, opisujemy w poradniku jak sprawdzić, czy link jest bezpieczny.

Co zrobić, jeśli latałeś tymi liniami w latach 2023–2026

Każdą wiadomość o rezerwacji sprawdzaj na stronie linii, a nie przez link z e-maila albo SMS-a. Kroki dla osób, które latały JAL-em, Cathay Pacific, Asianą, Korean Air, ANA albo Malaysia Airlines:

1. Sprawdź pocztę, także folder spam. JAL wysłała powiadomienia na adresy podane przy rezerwacji, Cathay zapowiada indywidualne wiadomości. Treść maila porównaj z komunikatem na stronie linii, na którą wchodzisz z ręcznie wpisanego adresu.

2. Nie klikaj linków w wiadomościach o zmianie lotu, dopłacie ani odprawie. Otwórz zarządzanie rezerwacją na stronie przewoźnika. Sprawdź, czy nic się nie zmieniło.

3. Rozłącz się, jeśli “linia” dzwoni i zna twój numer rezerwacji. Oddzwoń na numer ze strony przewoźnika. JAL uruchomiła w tej sprawie infolinię +81-3-4332-7280, czynną od poniedziałku do piątku w godzinach 10:00–17:00 czasu japońskiego, z wyjątkiem japońskich świąt.

4. Nie wysyłaj skanu paszportu w odpowiedzi na żadną wiadomość. Numer paszportu wyciekł u około 2 tys. klientów JAL. U części klientów Cathay mogły wyciec dane dokumentu podróży. Żadna z linii nie zaleca w komunikacie wymiany paszportu. Co znaczy wyciek danych paszportowych w praktyce, opisaliśmy przy wycieku z Wakacje.pl.

5. Zgłoś podejrzaną wiadomość. Stronę wyłudzającą dane zgłosisz CERT Polska przez formularz incydent.cert.pl. SMS z linkiem przekażesz bezpłatnie na numer 8080. Więcej miejsc, gdzie zgłosić oszustwo, zebraliśmy w osobnym poradniku.

Fałszywe wiadomości rozpoznasz po tych samych sygnałach co inny phishing: pośpiech, prośba o płatność albo dane, adres nadawcy spoza domeny linii. Prawdziwy numer rezerwacji w treści przestał być dowodem, że pisze przewoźnik.

Podsumowanie

Ślady nieuprawnionego dostępu do danych pasażerów w systemie rezerwacji Amadeus obejmują okres od sierpnia 2023 do września 2026 roku. Potwierdzają to JAL (ok. 92 tys. klientów), Cathay Pacific (ok. 53 tys. rezerwacji) i Asiana, a według mediów także Korean Air, ANA i Malaysia Airlines. Wyciekły głównie kody rezerwacji, nazwiska i dane lotów, u części osób także e-mail, telefon i numer paszportu, bez danych kart. Amadeus pisze o usuniętej podatności i nie podaje łącznej skali. LOT korzysta z systemu Amadeusa, ale na stronie jego biura prasowego nie ma komunikatu w tej sprawie. Potwierdzenia od innej linii z Europy nie znaleźliśmy. Wiadomość o zmianie lotu, nawet z prawdziwym numerem rezerwacji, sprawdzaj na stronie linii otwartej samodzielnie, a nie przez link.