Norska säkerhetsmyndigheten NSM varnar för att känsliga reseuppgifter har läckt i samband med en säkerhetsincident hos Amadeus. Enligt myndigheten kan en obehörig aktör ha haft tillgång till systemen i minst tre år.

NSM fick den 27 oktober information från Berg-Hansen Reisebureau om incidenten hos Amadeus IT Group, som levererar bokningssystem till resebranschen.

Sårbarheten ska ha stängts den 23 september 2026 och enligt Amadeus har den obehöriga aktören därefter inte längre haft tillgång till systemen.

Passnummer och resrutter kan ha exponerats

Beroende på bokningstyp kan uppgifterna som blivit tillgängliga ha omfattat resenärens identitet, resrutt, passnummer, nationalitet, kontaktuppgifter, biljett- och flygnummer samt sätesinformation.

Även uppgifter om särskilda tjänster under resan, resebyråinformation och innehåll i fritextfält kan ha exponerats.

NSM uppmanar berörda norska företag att bedöma vilken säkerhetsrisk uppgifterna kan innebära, särskilt för framtida resor som bokades före den 23 september.

Myndigheten rekommenderar också att företag och anställda byter inloggningsuppgifter till resebyråernas tjänster och genomför egna riskbedömningar.

Amadeus används brett i resebranschen

Amadeus tekniska lösningar används av stora delar av den norska resebranschen för bokningar av flyg, hotell och hyrbil. Bland användarna finns enligt NSM bland andra Berg-Hansen Reisebureau och Egencia.

NSM har samtidigt höjt Norges nationella cyberrisknivå till hög, den näst högsta nivån.

Källa: Nasjonal sikkerhetsmyndighet, NSM