Une violation de données chez le fournisseur de logiciels de voyage Amadeus a touché 46 000 dossiers de réservation de Singapore Airlines (SIA), selon un reportage du Straits Times. Les informations exposées concernent des données clients, mais les informations de paiement ne font pas partie de ce qui a été consulté. La violation de données d'Amadeus chez SIA est un rappel utile que vos données personnelles peuvent être compromises chez une entreprise avec laquelle vous n'avez jamais souscrit de contrat.

Le reportage source est bref, cet article s'en tient donc à ce qui a été confirmé et se concentre sur ce que les voyageurs peuvent raisonnablement faire à ce sujet.

Ce qui a été exposé dans la violation d'Amadeus

Selon le rapport, 46 000 dossiers de réservation de SIA ont été consultés illégalement lors d'un incident touchant Amadeus, un fournisseur de logiciels qui prend en charge les systèmes de réservation des compagnies aériennes. Les dossiers contenaient des données clients. Les informations de paiement n'ont pas été exposées.

L'article ne précise pas ici quels champs exacts étaient inclus, comment les attaquants sont entrés, ni qui était responsable, nous ne ferons donc pas de suppositions. Si vous avez réservé avec SIA, l'hypothèse la plus sûre est que le type d'informations généralement liées à une réservation, comme votre nom et vos détails de voyage, pourrait être concerné jusqu'à ce que la compagnie aérienne vous dise le contraire. Vérifiez toute notification directe de SIA ou d'Amadeus, car celles-ci décriront les données spécifiques concernées.

Pourquoi les systèmes de réservation tiers sont un maillon faible

La plupart des voyageurs considèrent une réservation comme une relation entre eux-mêmes et une compagnie aérienne. En pratique, les données de réservation transitent souvent par des fournisseurs de technologie qui opèrent en coulisses et y sont stockées. Vous n'avez jamais choisi ces fournisseurs, jamais lu leurs politiques de confidentialité, et vous ne pouvez généralement pas vous en retirer.

Cela crée un problème structurel. Une compagnie aérienne peut investir massivement dans sa propre sécurité, mais une faiblesse chez un fournisseur peut néanmoins exposer ses clients. Le même schéma se retrouve dans tous les secteurs. Notre couverture des divulgations de Goldman Sachs et Man Group dans la violation de données d'EY a montré comment un incident chez un fournisseur peut s'étendre pour toucher de nombreuses organisations clientes. De même, la violation de données de SafePal qui a exposé près de 40 000 clients est un autre exemple de données clients devenant vulnérables à travers les systèmes entourant un produit, et pas seulement le produit lui-même.

Pour les voyageurs, la conclusion pratique est que le nombre d'organisations qui détiennent vos données est plus grand que le nombre de marques avec lesquelles vous traitez.

Pourquoi une violation sans données de carte reste importante

Il est tentant de se détendre quand on entend qu'aucun détail de paiement n'a été dérobé. C'est une bonne nouvelle, car cela réduit le risque de fraude directe par carte. Mais les dossiers de réservation restent précieux pour les criminels pour une raison différente : ils fournissent du contexte.

Un message qui mentionne votre vrai nom et un voyage à venir réel est bien plus convaincant qu'une arnaque générique. Les attaquants peuvent utiliser ce type de détail pour concevoir des e-mails ou des SMS d'hameçonnage qui semblent provenir d'une compagnie aérienne, d'une agence de voyage ou d'un service de paiement, vous incitant à « confirmer » une réservation, réclamer un remboursement ou mettre à jour vos coordonnées. Les informations personnelles peuvent également être combinées avec des données d'autres fuites pour construire un profil plus complet, ce qui rend la fraude à l'identité plus facile à tenter.

C'est un thème récurrent dans les rapports de violation. Même lorsque les champs les plus évidemment sensibles sont épargnés, les détails personnels divulgués ont tendance à circuler et à être réutilisés. Notre rapport sur la revendication de Qilin contre Hawaii Dental Group concerne un autre secteur, mais la leçon est similaire : une fois que des dossiers quittent le contrôle d'une organisation, le risque en aval persiste bien au-delà du titre initial.

Mesures que les passagers concernés peuvent prendre dès maintenant

Vous n'avez pas besoin de paniquer, mais quelques mesures réfléchies en valent la peine :

  • Surveillez les avis officiels. Si SIA ou Amadeus vous contacte, lisez-le attentivement. Rendez-vous sur le site web de la compagnie aérienne en tapant vous-même l'adresse plutôt qu'en cliquant sur les liens dans les e-mails.
  • Traitez les messages de voyage inattendus avec méfiance. Méfiez-vous des e-mails ou SMS concernant des vols modifiés, des remboursements, des surclassements de siège ou des confirmations de réservation que vous n'avez pas demandés, même s'ils contiennent des détails exacts.
  • Sécurisez votre compte de compagnie aérienne. Utilisez un mot de passe unique et fort et activez l'authentification à deux facteurs si elle est proposée. Si vous avez réutilisé le mot de passe ailleurs, changez-le là aussi.
  • Vérifiez votre compte de fidélité. Examinez l'activité récente et les coordonnées liées pour tout élément inhabituel.
  • Surveillez vos comptes financiers. Bien que les données de paiement n'aient, selon les rapports, pas été concernées, des vérifications régulières sont une habitude sensée après toute violation.
  • Limitez ce que vous partagez. Ne fournissez que les détails qu'une réservation exige, et soyez prudent quant aux informations supplémentaires demandées par les sites tiers.

Ce que cela signifie pour vous

Si vous avez voyagé ou réservé avec Singapore Airlines, vos informations peuvent se trouver dans un système géré par une entreprise avec laquelle vous n'avez jamais traité directement. L'absence signalée de données de paiement est rassurante, mais le véritable risque à court terme est l'hameçonnage ciblé qui utilise de véritables détails de réservation pour paraître légitime. Ralentir avant de cliquer et vérifier toute demande par les canaux officiels est votre meilleure défense.

Plus largement, vous ne pouvez pas auditer chaque fournisseur derrière chaque service que vous utilisez, mais vous pouvez réduire les dommages lorsqu'un échoue. Des mots de passe uniques, l'authentification à deux facteurs et un scepticisme sain envers les messages non sollicités font beaucoup.

Points clés à retenir

La violation de données d'Amadeus chez SIA a touché 46 000 dossiers de réservation et, selon le rapport, n'incluait pas d'informations de paiement. Examinez la sécurité de votre compte de compagnie aérienne dès aujourd'hui, restez vigilant face à l'hameçonnage qui fait référence à vos projets de voyage, et vérifiez tout élément inattendu par les canaux officiels. Pour en savoir plus sur la façon dont l'exposition par des tiers se manifeste, lisez notre couverture de la violation de données d'EY et de ses victimes nommées et de la violation de SafePal.