Encore une affaire de données personnelles. Le 28 octobre 2026, Japan Airlines (JAL) et Japan Transocean Air (JTA) ont annoncé des traces d'accès externe à des réservations concernant environ 92 000 clients. La faille concernait un système de leur prestataire Amadeus, pas simplement des passagers ayant négligé leurs mots de passe. On peut verrouiller sa porte ; encore faut-il que l'entrepôt qui garde sa valise soit sûr.
Quelles informations sont concernées ?
Pour environ 90 000 personnes : référence de réservation, nom, date du vol, trajet et classe. Pour quelque 2 000 autres, s'ajoutent éventuellement adresses e-mail, téléphones, numéros de passeport, nationalités, numéros de fidélité et détails des billets et sièges. Selon les compagnies, aucun numéro de carte bancaire ni mot de passe n'a été compromis. Au moment de l'annonce, aucune utilisation frauduleuse n'était confirmée et les vols n'étaient pas affectés.
Le point faible chez un prestataire
Amadeus IT Group fournit les systèmes de réservation, de billetterie et d'enregistrement. Les compagnies ont reçu son rapport le 23 octobre et rendu l'affaire publique le 28. Des mots de passe solides et l'authentification multifactorielle restent utiles. Mais un voyageur ne peut pas protéger lui-même les bases de données de son prestataire. C'est comme réussir son examen et dépendre de la façon dont une autre classe garde les copies.
Trois ans d'intrusion sans interruption ?
Ce n'est pas démontré. La période du 10 août 2023 au 23 septembre 2026 concerne les dossiers présentant des traces d'accès externe. Elle ne prouve pas une présence continue de l'attaquant ni que tous les passagers de cette période sont touchés. Le mode d'entrée et une éventuelle revente n'étaient pas confirmés. L'affaire réelle est déjà préoccupante sans inventer un scénario catastrophe supplémentaire.
Que faire ?
Les compagnies prévoient des contacts individuels et une assistance dédiée à partir du 29 octobre. Méfiez-vous des messages connaissant votre vol et exigeant une connexion urgente via un lien. Ouvrez vous-même le site officiel et ne communiquez pas de détails de réservation ou de passeport à un appel suspect. Le communiqué ne signifie pas non plus que tout le monde doit renouveler immédiatement son passeport.
Une carte se remplace, un mot de passe se change ; l'identité et les voyages passés ne s'effacent pas en un clic. On a acheté un billet d'avion, pas un aller simple pour ses données personnelles. La protection doit inclure les prestataires et la prévention des usages abusifs.
Source : communiqué officiel de JAL et JTA, 28 octobre 2026.
