Det var via stulna inloggningsuppgifter som externa aktörer lyckades ta sig in i det världsledande bokningssystemet Amadeus. Genom automatiserade sökningar har hackare kommit över känslig reseinformation. Enligt uppgifter från norska medier kan obehöriga ha haft tillgång till systemet i upp till tre år, ända sedan 2023. Säkerhetshålet hos leverantören har sedermera stängts och utreds nu i detalj.
Äldre bokningar och flygdata har läckt
Totalt omfattar läckan hos SAS 350 164 resenärer. Det rör sig främst om äldre bokningar och redan genomförda resor. De uppgifter som har hamnat i orätta händer är framför allt bokningsreferenser, datumuppgifter, flygrelaterad information samt uppgifter om antal passagerare i bokningen. Medan norska myndigheter har varnat för att passuppgifter i vissa fall kan ha varit åtkomliga för systemintrånget som helhet, uppger SAS att de i nuläget inte har identifierat att några ytterligare kategorier av personuppgifter har läckt för deras egna resenärer.
Detta är den andra stora dataläckan med koppling till SAS på kort tid. Hösten 2025 drabbades bolaget av en incident där anställdas HR- och rehabiliteringsdata läcktes via en extern leverantör, men den nuvarande IT-incidenten mot bokningssystemet är betydligt mer omfattande sett till antalet drabbade individer.
SAS informerar inte kunderna
Trots det stora antalet drabbade har SAS i dagsläget beslutat att inte kontakta eller informera de berörda resenärerna direkt. Flygbolagets bedömning är att incidenten inte innebär en så kallad ”hög risk” för individerna enligt GDPR-lagstiftningen. SAS tillägger dock att detta beslut kan komma att omprövas om ny information framkommer under den pågående utredningen.
Flera flygbolag indragna
Eftersom säkerhetsbristen låg hos systemleverantören Amadeus och inte i SAS egna system, har spridningen blivit stor. Flera andra flygbolag i Norden har också drabbats av intrånget. Finnair har meddelat att cirka 116 000 av deras flygreservationer har påverkats, och även Norwegian samt den norska resebyrån Berg-Hansen har rapporterat att de har drabbats av samma säkerhetsincident. Utredningen kring exakt hur mycket data som har kommit på avvägar pågår fortfarande i samarbete med Amadeus.
Källor:
- SVT Nyheter: Misstänkt dataläcka hos SAS – över 350 000 bokningsuppgifter kan ha röjts
- Yle Nyheter: Finnairs kunduppgifter kom ut i global dataläcka
- Dagens Industri: Hundratusentals kunduppgifter läckta från SAS och Finnair
SAS Group: Officiellt uttalande om cyberattacken mot Miljödata (September 2025
