Küresel Havacılıkta Siber Güvenlik Alarmı: Amadeus Sistemlerinde 38 Aylık Veri İhlali
Dünyanın önde gelen havacılık teknolojileri sağlayıcılarından Amadeus’un yolcu hizmet sistemlerinde tespit edilen yetkisiz erişim, havayolu şirketlerinin veri güvenliğini yeniden gündeme taşıdı. Ağustos 2023 ile Eylül 2026 arasındaki yaklaşık 38 aylık dönemi kapsayan olayda, Japan Airlines ve All Nippon Airways dahil birçok havayolunun yolcu rezervasyon bilgilerinin etkilendiği açıklandı.
Küresel havacılık sektörünün rezervasyon, biletleme ve yolcu hizmetleri altyapısında önemli bir konuma sahip olan Amadeus IT Group, yetkisiz erişim nedeniyle siber güvenlik incelemelerinin odağına yerleşti.
Ekim 2026’da kamuoyuna yansıyan açıklamalara göre, Amadeus tarafından sağlanan yolcu hizmet sistemlerine üçüncü tarafların yetkisiz erişim sağladığı belirlendi. Olayın Ağustos 2023’ten Eylül 2026’ya kadar uzanan bir dönemi kapsaması, özellikle uzun süreli yetkisiz erişimlerin tespit edilmesi ve tedarikçi sistemlerinin denetlenmesi konularını gündeme getirdi.
Japan Airlines’ta Yaklaşık 92 Bin Yolcunun Verileri Etkilendi
Japonya merkezli Japan Airlines (JAL), Amadeus’un yolcu hizmet sisteminde meydana gelen güvenlik ihlalinden yaklaşık 92 bin müşterisinin etkilendiğini duyurdu.
Şirketin açıklamasına göre yaklaşık 90 bin yolcuya ait rezervasyon kodları (PNR), isimler, uçuş tarihleri, güzergâhlar ve seyahat sınıfları yetkisiz erişime maruz kaldı.
Yaklaşık 2 bin yolcuya ilişkin kayıtlarda ise bu bilgilere ek olarak e-posta adresleri, telefon numaraları, pasaport numaraları, uyruk bilgileri ve sık uçan yolcu numaraları gibi kişisel verilerin de bulunduğu belirtildi.
JAL, kredi kartı bilgilerinin ve hesap şifrelerinin etkilenmediğini, yolcu bilgilerinin kötüye kullanıldığına ilişkin mevcut bir kanıt bulunmadığını açıkladı.
ANA’da 37 Bin 800 Yolcu Etkilendi
Japon havayolu şirketi All Nippon Airways (ANA) de 30 Ekim 2026 tarihinde yayımladığı resmî açıklamayla Amadeus sistemlerindeki yetkisiz erişimden etkilendiğini doğruladı.
Şirketin açıklamasına göre 10 Ağustos 2023 ile 23 Eylül 2026 arasında rezervasyon yapan yaklaşık 37 bin 800 müşterinin bilgileri olaydan etkilendi.
Bu yolcuların yaklaşık 36 bin 100’ünün temel rezervasyon bilgileri, 1.700’ünün ise ek iletişim ve kimlik bilgileri potansiyel olarak açığa çıktı.
ANA, kredi kartı numaraları ve hesap şifrelerinin ihlal kapsamında olmadığını belirterek, yetkisiz erişimde kullanılan kimlik doğrulama bilgilerinin iptal edildiğini ve güvenlik izleme mekanizmalarının güçlendirildiğini duyurdu.
Korean Air ve Asiana Airlines da Etkilenen Şirketler Arasında
Güney Kore’nin önde gelen havayolu şirketlerinden Korean Air ve Asiana Airlines da Amadeus altyapısıyla bağlantılı yolcu verisi ihlallerini doğruladı.
Korean Air’in açıklamalarına göre yetkisiz erişim, Amadeus sisteminde tanımlanmış bir kullanıcı hesabının giriş bilgilerinin kullanılmasıyla gerçekleşti.
Asiana Airlines ise rezervasyon bilgilerinin etkilendiğini ancak ödeme bilgilerinin olay kapsamında bulunmadığını açıkladı.
Her iki havayoluna ilişkin etkilenen toplam yolcu sayısı kamuoyuna açıklanan bilgilerle kesinleştirilmiş değil.
Rezervasyon Görüntüleme Sisteminde Ayrı Bir Güvenlik Açığı
Amadeus’un Ekim ayında gündeme gelen güvenlik sorunları yalnızca yetkisiz hesap erişimiyle sınırlı kalmadı.
Alman teknoloji yayını Heise tarafından 13 Ekim 2026’da yayımlanan araştırmada, Amadeus’un rezervasyon görüntüleme ortamındaki bir güvenlik açığı nedeniyle yolcu kayıtlarına ve bazı sistem erişim bilgilerine ulaşılabildiği bildirildi.
Araştırmada Lufthansa ve Condor uçuşlarına ilişkin rezervasyon kayıtlarının da erişilebilir olduğu aktarıldı.
Amadeus, söz konusu açığın giderildiğini, ödeme ve finansal verilere erişilemediğini, izleme ve tespit mekanizmalarının güçlendirildiğini açıkladı.
Ancak rezervasyon görüntüleme sistemindeki güvenlik açığı ile havayollarının bildirdiği uzun süreli yetkisiz erişimin aynı olaydan kaynaklandığı doğrulanmış değil. Bu iki gelişme ayrı güvenlik vakaları olarak değerlendiriliyor.
Havayollarında Üçüncü Taraf Teknoloji Riski Gündemde
Amadeus vakası, havayolu şirketlerinin dış teknoloji sağlayıcılarına bağımlılığıyla bağlantılı siber güvenlik risklerini öne çıkardı.
Küresel rezervasyon sistemleri, havayolları, seyahat acenteleri ve diğer turizm kuruluşları arasında büyük miktarda yolcu verisinin işlenmesini sağlıyor.
Bu sistemlerde ortaya çıkan yetkisiz erişim olayları, tek bir teknoloji sağlayıcısının altyapısını kullanan birden fazla havayolunu etkileyebiliyor.
Yaşanan gelişmeler, havacılık sektöründe tedarikçi erişim yetkilerinin düzenli olarak denetlenmesi, sistem hesaplarının izlenmesi, veri erişimlerinin sınırlandırılması ve güvenlik olaylarının erken tespit edilmesi gerekliliğini yeniden gündeme taşıdı.
Etkilenen havayolları, yolcularını özellikle gerçek rezervasyon bilgileri kullanılarak gerçekleştirilebilecek sahte e-posta, telefon ve internet sitesi girişimlerine karşı dikkatli olmaları konusunda uyardı.
Amadeus sistemlerinde alınan güvenlik önlemlerinin ardından olayın kapsamına ilişkin incelemeler sürerken, toplam etkilenen yolcu sayısı henüz kesin olarak açıklanmadı.
