SAS bekræfter datalækage: 350.164 passagerers bookingoplysninger ramt via Amadeus

Over 350.000 rejsende med SAS kan have fået deres bookingoplysninger eksponeret i en omfattende sikkerhedshændelse hos IT-leverandøren Amadeus, som driver bookingsystemet bag en stor del af verdens flyselskaber. Det fremgår af en anmeldelse, som SAS har indsendt til det svenske datatilsyn Integritetsskyddsmyndigheten (IMY), og som SVT Nyheter har omtalt. Det skriver ICARE SECURITY A/S på baggrund af nyhederne på Svensk TV.

Ifølge SAS er præcise antal opgivet til 350.164 personer som har fået lækket sine oplysninger. Lækagen vedrører primært ældre bookinger og allerede gennemførte rejser, og de eksponerede data omfatter ifølge selskabet bookingreferencer, datooplysninger, flyrelaterede oplysninger og antallet af passagerer på bookingen. SAS oplyser, at der indtil videre ikke er fundet yderligere kategorier af persondata i lækagen.

Sådan skete angrebet

Ifølge SAS skal en ekstern aktør have brugt kompromitterede systemdata til at skaffe sig adgang til Amadeus’ bookingsystem og derefter have foretaget automatiserede søgninger i systemet. Over for SVT Nyheter skriver SAS, at selskabet er bekendt med den sikkerhedshændelse, som Amadeus har rapporteret, og at det er blevet oplyst, at visse bookingoplysninger vedrørende SAS er påvirket. Fremgangsmåden svarer til det, andre flyselskaber har beskrevet. Cathay Pacific har således oplyst, at en uautoriseret part fik adgang til reservationsdata ved hjælp af loginoplysninger til en Amadeus systemkonto, og Amadeus har over for Reuters forklaret, at virksomheden fandt en sikkerhedssvaghed i et værktøj, der bruges til at vise bookinginformation, og at undersøgelsen fortsat pågår.

SAS informerer ikke de berørte passagerer

Det mest bemærkelsesværdige i anmeldelsen er, at SAS har besluttet ikke at give de berørte passagerer direkte besked. Selskabet vurderer, at hændelsen ikke udgør en høj risiko for de registreredes rettigheder efter GDPR, men tilføjer, at beslutningen kan blive ændret, hvis der kommer nye oplysninger frem. Efter databeskyttelsesforordningens artikel 34 er den dataansvarlige kun forpligtet til at underrette de registrerede direkte, når et brud sandsynligvis indebærer en høj risiko for dem, mens anmeldelsen til tilsynsmyndigheden efter artikel 33 skal ske inden for 72 timer, medmindre bruddet sandsynligvis ikke indebærer en risiko overhovedet. SAS har anmeldt sagen til IMY og oplyser, at selskabet følger udviklingen nøje, mens Amadeus’ undersøgelse fortsat er i gang.

Et internationalt brud med mange ramte flyselskaber

SAS er langt fra det eneste selskab, der er ramt. NRK rapporterede fredag, at uautoriserede personer kan have haft adgang til data i Amadeus’ bookingsystem i op til tre år, og at det blandt andre gælder passagerer hos Norwegian og rejsebureauet Berg-Hansen, hvor der i nogle tilfælde også kan have været adgang til pasoplysninger.

Ifølge TechRadar, der bragte en oversigt 4. november 2026, er blandt andre Singapore Airlines, Cathay Pacific, Japan Airlines og All Nippon Airways ramt, mens Korean Air, Asiana Airlines og Malaysia Airlines også har bekræftet at være berørt, og Qantas fortsat undersøgte sagen. I de fleste tilfælde drejer det sig om bookingreferencer, passagernavne og flyoplysninger, mens mindre grupper også har fået eksponeret e-mailadresser, telefonnumre, rejsedokumenter og bonusnumre. Amadeus oplyser, at der ikke er tegn på, at betalings- eller finansielle data er tilgået.

Flyselskab	Oplyst omfang
SAS	350.164 personer
Japan Airlines	ca. 92.000 kunder
Cathay Pacific	ca. 53.000 bookinger
Singapore Airlines	ca. 46.000 bookinger
All Nippon Airways	ca. 37.800 kunder
Korean Air, Asiana, Malaysia Airlines	Bekræftet ramt, omfang ikke oplyst
Norwegian, Berg-Hansen	Bekræftet ramt ifølge NRK
Qantas	Undersøger fortsat

Hvad betyder det for rejsende og virksomheder

Selv om navn, bookingreference og rejsedatoer kan virke harmløse, er netop den kombination velegnet til målrettet phishing, hvor svindlere kontakter passagerer med korrekte rejsedetaljer for at lokke betalingskort, loginoplysninger eller pasdata ud af dem. For forretningsrejsende og virksomheder med en international rejseprofil er risikoen desuden, at rejsemønstre for ledelse og nøglemedarbejdere kan kortlægges. Rejsende bør derfor være ekstra opmærksomme på e-mails, sms’er og opkald, der henviser til tidligere eller kommende flyrejser, og aldrig oplyse kortdata eller koder via links i sådanne henvendelser.

Virksomheder, der bruger rejsebureauer eller bookingværktøjer med Amadeus som GDS, bør bede leverandøren om en konkret redegørelse for, om egne medarbejderes data er berørt, og vurdere egne forpligtelser som dataansvarlig. Registrerede, der ønsker vished, kan anmode SAS om indsigt efter GDPR artikel 15 og klage til IMY, hvis de er uenige i selskabets risikovurdering.

Kilde:	SVT Nyheter, Jesper Christiansen, ICARE SECURITY A/S
Kildelinks:	Mistænkt datalækage hos SAS – over 350.000 bookingoplysninger kan være blevet offentliggjort | SVT Nyheder
Fotokredit:	SAS (logo)
Personer/Firmaer/Emner/#:	#SAS, #Amadeus, #Norwegian, #GDPR, #Datalækage, #Cybersikkerhed, #Persondata, #Flyselskaber, #Phishing, #Forretningsrejser
Copyrights:	Ⓒ 2026 Copyright by ICARE.DK kan deles ved aktivt link til denne artikel.