Datalekkasje hos Amadeus: SAS har ikke varslet 350 164 passasjerer. Slik beskytter du deg

En datalekkasje hos Amadeus ble oppdaget 21. september, og tre dager senere var inntrengeren stengt ute. Da hadde noen allerede vært inne lenge. Ifølge Japan Airlines har Amadeus funnet spor tilbake til august 2023.

Amadeus er et spansk IT-selskap få har hørt om, men som de fleste likevel har benyttet seg av. Har du bestilt en flyreise, har du vært innom systemene deres. Flyselskaper, hoteller og reisebyråer bruker plattformen til å lagre bestillinger.

Hvem er rammet?

Mer enn 190 statlige og private virksomheter i Norge er rammet. Reisebyrået Berg-Hansen fikk beskjed 26. oktober og meldte fra til Datatilsynet dagen etter. Hos Berg-Hansen alene har uvedkommende sett på i underkant av 300 reisebestillinger fra 75 norske virksomheter, både statlige og private.

Norwegian, som også eier Widerøe, bekrefter at konsernet er rammet. Selskapet vil ikke si hvor mange passasjerer det gjelder.

SAS har gått gjennom bestillingene og kommet frem til at det gjelder 350 164 passasjerer. Selskapet sier ikke hvor mange av dem som er norske. Japan Airlines melder om rundt 92 000 rammede kunder, og Singapore Airlines om 46 000 rammede reiser.

Dette kan være lekket

Hva som ligger ute, avhenger av bestillingen. Passasjerlistene hos Berg-Hansen inneholder navn, fødselsdato, firmanavn, e-postadresse og telefonnummer, og i noen tilfeller passnummer. Andre bestillinger kan vise reiserute, billettnummer, sete og spesielle ønsker, som rullestol eller spesialkost.

Amadeus sier det ikke finnes tegn til at betalingskort eller andre økonomiske opplysninger er hentet ut. Ifølge SAS gjelder lekkasjen hos dem mest bestillingsreferanser, datoer og flyinformasjon fra reiser som allerede er gjennomført.

Nasjonal sikkerhetsmyndighet (NSM), som skal beskytte Norge mot dataangrep, ser mer alvorlig på det. Direktør Arne Christian Haugstøyl sier at NSM vet at sensitive opplysninger er lekket.

SAS vil ikke si fra

SAS har meldt saken til det svenske datatilsynet IMY. Samtidig har selskapet bestemt seg for ikke å varsle passasjerene, fordi det vurderer risikoen som lav. Det kan endre seg hvis det dukker opp nye opplysninger.

Finnair, som har rundt 116 000 rammede bestillinger, har gjort det motsatte og gitt noen aktive reiser nye referansenumre. Har du fløyet med SAS, må du finne ut av det selv.

Slik beskytter du deg

Alle som har reist med SAS eller Norwegian siden 2023, eller bestilt jobbreiser gjennom Berg-Hansen, bør regne med at opplysningene kan være lekket. Dette kan du gjøre:

• Vær mistenksom mot meldinger om reisen din. Line Coll, direktør i Datatilsynet, advarer om at opplysningene kan brukes til svindel og identitetstyveri. En e-post eller SMS med riktig flynummer og dato ser ekte ut. Klikk ikke på lenken. Åpne heller appen til flyselskapet, eller skriv inn adressen selv.
• Gi aldri koder over telefonen. Ringer noen fra «flyselskapet» eller «reisebyrået», legg på og ring tilbake på nummeret fra nettsiden. Firmanavn og jobbtelefon gjør det lettere å lure bedriftsreisende, og svindlere har allerede tømt bedriftskontoer med BankID-koder de fikk på telefon.
• Bytt passord. NSM ber virksomhetene bytte innloggingen hos reisebyråene. Gjør det samme på profilen din hos flyselskapet og reisebyrået, særlig hvis du bruker det samme passordet andre steder.
• Spør selskapet. Du har rett til å få vite hvilke opplysninger et selskap har om deg. Send en e-post til personvernombudet i flyselskapet og spør om bestillingene dine er med i lekkasjen. Adressen står i personvernerklæringen på nettsiden, og selskapet må svare innen en måned.

NSM ber også virksomhetene vurdere risikoen for kommende reiser som ble bestilt før 23. september, og om noen av de ansatte er særlig utsatt.

Og passasjerene, som tross alt er uskyldige i dette her, burde fått beskjed av SAS.