Cathay Pacific, Japan Airlines и ANA раскрыли масштаб несанкционированного доступа к данным пассажиров у общего поставщика — Amadeus, чья система обслуживает бронирование, выпуск билетов и регистрацию на рейсы. В уведомлениях от 30 октября JAL и Japan Transocean Air назвали около 92 тысяч затронутых клиентов, ANA — 37,8 тысячи. Cathay Pacific сообщила примерно о 53 тысячах бронирований: это другая единица учёта, складывать показатели в общее число пострадавших нельзя.

По сообщению Cathay, посторонний использовал учётные данные системной записи Amadeus. JAL относит обнаруженные следы внешнего доступа к периоду с 10 августа 2023 года по 23 сентября 2026-го; Cathay указывает тот же интервал с точностью до месяца. Это не означает, что доступ был непрерывным все три года. Как именно атакующий получил учётные данные, перевозчики не раскрыли.

В доступных посторонним сведениях были имена, коды бронирований и детали перелётов. Для примерно двух тысяч клиентов JAL и Japan Transocean Air и 1,7 тысячи клиентов ANA перечень шире: он включает контакты, номера паспортов, гражданство и сведения программ лояльности. У Cathay дополнительные данные могли быть доступны для меньшей части затронутых бронирований, но размер этой группы не назван. Данных о доступе к платёжной информации перевозчики не приводят; JAL и ANA отдельно исключают номера банковских карт и пароли клиентских аккаунтов.

ANA сообщила об отзыве скомпрометированных учётных данных, Cathay — о сбросе пароля и усилении мониторинга у Amadeus. JAL и Cathay заявляют, что инцидент не повлиял на выполнение рейсов; Cathay также исключает воздействие на собственные системы. Подтверждённого злоупотребления данными в этих уведомлениях нет. При этом раскрытые маршруты и контакты могут сделать поддельные сообщения от имени авиакомпании убедительнее — перевозчики предупреждают пассажиров о таком риске.