Reisedata kompromittert hos Amadeus: NSM ber virksomheter vurdere reiser bestilt før 23. september

NSM kunngjorde saken fredag 6. november. Ifølge NSM mottok etaten 27. oktober en bekymring fra Berg-Hansen Reisebureau AS om reisebestillinger knyttet til Amadeus IT Group, en spansk leverandør av bookingsystemer til reiselivsbransjen.

Amadeus har ifølge NSM varslet om en sikkerhetshendelse der en trusselaktør har hatt tilgang til selskapets systemer i minst tre år.

– NSM er kjent med at sensitive data er lekket. Vi informerer om dette slik at norske virksomheter kan gjøre nødvendige tiltak for å redusere eventuell risiko, sier NSMs direktør Arne Christian Haugstøyl i nyhetssaken.

Dette kan ha vært tilgjengelig

NSM skriver at sårbarheten hos Amadeus ble lukket 23. september 2026, og at trusselaktøren ifølge Amadeus ikke lenger har tilgang til systemet.

Avhengig av type bestilling skal trusselaktøren ifølge NSM ha hatt tilgang til disse opplysningene:

• personens identitet og reiserute

• passnummer og nasjonalitet

• kontaktinformasjon

• flybillettnummer og flynummer

• seteinformasjon

• spesialtjenester under reisen

• informasjon om reisebyrå

• informasjon fra fritekstboks

Brukes av de fleste i norsk reiseliv

Ifølge NSM leverer Amadeus tekniske løsninger som brukes av de fleste aktørene i norsk reiseliv. Systemene brukes til å bestille flybilletter, hotellopphold og leiebil, blant annet hos Berg-Hansen og Egencia, skriver NSM.

NSM skriver at etaten følger situasjonen og har varslet relevante virksomheter og departement. Berørte virksomheter må selv vurdere hvilken sikkerhetsrisiko reisedetaljene kan utgjøre for virksomhetens verdier og sikkerhetsinteresser.

– Det er meget viktig at norske virksomheter, uavhengig om de er underlagt sikkerhetsloven eller ikke, forstår at cyberrisikoen er høyere enn før, sier Haugstøyl.

NSM hevet 27. oktober det nasjonale cyberrisikonivået til HØYT, det nest høyeste nivået.

Berg-Hansen oppgir på sine nettsider å ha 22 kontorer i Norge, blant annet i Stavanger og Haugesund. Ingen av kildene sier noe om hvor berørte kunder eller virksomheter holder til, eller at noen i Rogaland er rammet.

Dette anbefaler NSM

NSM lister opp tre tiltak:

• Vurder sikkerhetsrisikoen ved fremtidige reiser som ble bestilt før 23. september 2026.

• Virksomheten og de ansatte oppfordres til å endre innloggingsdetaljene sine hos reisebyråenes tjenester.

• Gjør egne risikovurderinger, og gjennomfør nødvendige tiltak for å beskytte sensitive opplysninger og andre verdier knyttet til informasjonen som er registrert.

Dette sier Amadeus

I en kort uttalelse på nettsidene sine, merket «October 2026», skriver Amadeus at selskapet ble kjent med en sårbarhet i et miljø som viser reisebestillinger («travel booking display environment»). Ifølge selskapet var visse visningsdata fra bestillinger tilgjengelige gjennom sårbarheten.

Amadeus skriver at undersøkelsene fortsetter, men at selskapet kan bekrefte at det ikke finnes bevis for at noen har fått tilgang til betalings- eller finansopplysninger. Ifølge Amadeus er det ingen tegn til at sårbarheten er utnyttet til løsepengevirus. Selskapet skriver at det har innført tiltak for å rette sårbarheten og har forbedret overvåking og deteksjon, og at det er i direkte dialog med kunder og myndigheter.

Uttalelsen sier ingenting om hvor lenge tilgangen varte, eller om hvem som sto bak.

Flyselskaper i Asia har oppgitt tall

Flere flyselskaper har selv gått ut med opplysninger om hendelsen.

Japan Airlines (JAL) skriver i en melding datert 30. oktober at selskapet og datterselskapet Japan Transocean Air ble varslet av Amadeus 23. oktober. Ifølge JAL ble det funnet spor av ekstern tilgang til en del av kundenes bestillingsdata i perioden 10. august 2023 til 23. september 2026. JAL oppgir at det gjelder rundt 92.000 kunder. For rundt 2.000 av dem gjelder det også blant annet e-postadresse, telefonnummer, passnummer og nasjonalitet. Ifølge JAL er kredittkortnumre og passord ikke kompromittert, og det er så langt ingen tegn til at kundeopplysninger er misbrukt.

Hongkong-selskapet Cathay Pacific skriver i en melding sist oppdatert 30. oktober at selskapet ble varslet av Amadeus 28. oktober. Ifølge Cathay Pacific dreier det seg om uautorisert tilgang til bestillingsdata i Amadeus' systemer, der en uvedkommende brukte påloggingsdetaljer tildelt en systemkonto («login credentials assigned to its system account»). Ifølge tall fra Amadeus, gjengitt av Cathay Pacific, gjelder det rundt 53.000 bestillinger knyttet til flyselskapet, i perioden august 2023 til september 2026. Cathay Pacific skriver at Amadeus blant annet har tilbakestilt passord, og at Amadeus så langt ikke har funnet bevis for at dataene er misbrukt.

Tallene kan ikke sammenlignes direkte. JAL teller kunder, mens Cathay Pacific teller bestillinger, og hvert selskap oppgir bare tall for sine egne kunder. Verken Amadeus eller NSM har oppgitt et samlet tall eller et tall for Norge.

Hvordan inngangen beskrives, varierer også mellom kildene. Amadeus omtaler en sårbarhet, mens Cathay Pacific beskriver tilgang via påloggingsdetaljer til en systemkonto. NSM bruker både ordet sikkerhetshendelse og sier at sårbarheten ble lukket.

Dette er ikke kjent

• Hvor mange norske reisende, bestillinger eller virksomheter som er berørt. Verken NSM eller Amadeus har oppgitt tall for Norge.

• Hvem trusselaktøren er. Ingen av kildene peker ut noen.

• Hvordan tilgangen faktisk ble skaffet: gjennom en sårbarhet, gjennom påloggingsdetaljer til en systemkonto eller begge deler.

• Hvilke virksomheter og hvilket departement NSM har varslet.

• Om opplysningene er misbrukt. JAL og Cathay Pacific skriver at det så langt ikke er funnet tegn til eller bevis for misbruk.

• Om andre norske reisebyråer og flyselskaper er berørt. Det har ingen bekreftet i primærkildene vi har gått gjennom.

Kildene inneholder ingen kommentar fra Berg-Hansen eller Egencia.

Om bildet

Illustrasjonsfoto fra 2005 av Amadeus' anlegg i Erding ved München i Tyskland. Bildet viser ikke noe som har med hendelsen å gjøre, og kildene sier ikke at anlegget er berørt. Foto: Gunnar Eberlein / Wikimedia Commons (public domain). Bildet er beskåret. Kilde: https://commons.wikimedia.org/wiki/File:Amadeus_Erding.jpg

Kilder

NSM, «Reiseopplysninger kompromittert hos spansk leverandør», publisert 6. november 2026: https://nsm.no/aktuelt/reiseopplysninger-kompromittert-hos-spansk-leverandor

NSM, «NSM hever det nasjonale cyberrisikonivået til HØYT», 27. oktober 2026: https://nsm.no/aktuelt/nsm-hever-det-nasjonale-cyberrisikonivaet-til-hoyt

Amadeus, «Amadeus Statement», merket oktober 2026: https://amadeus.com/en/industry-messaging/amadeus-statement-oct

Japan Airlines, melding 30. oktober 2026: https://www.jal.co.jp/en-jp/news/general/2026/other/261028.html

Cathay Pacific, melding sist oppdatert 30. oktober 2026: https://www.cathaypacific.com/cx/en_HK/latest-news/security-and-operational-changes/personal-data-security.html

Berg-Hansen, «Våre kontorer»: https://www.berg-hansen.no/vare-kontorer/

Bildets kildeside: https://commons.wikimedia.org/wiki/File:Amadeus_Erding.jpg