Thai Airways bekräftar att uppgifter om 60 529 bokningar har kommit ut. Men flygbolaget är inte källan, och det är inte den största siffran i historien. Samma intrång hos bokningsjätten Amadeus omfattar 350 164 SAS-resenärer – och du behöver inte ha flugit Thai Airways för att finnas med.
Vad Thai Airways säger
Flygbolaget gick ut med ett uttalande som de thailändska medierna rapporterade den 10 november. Amadeus IT Group S.A., som levererar Thai Airways system för platsbokning och passagerarservice, hade meddelat bolaget att obehöriga kommit åt bokningsdata som lagrats i Amadeus system.
För 60 529 bokningsposter rör det sig om passagerarens namn, bokningsreferensen (PNR), resdatum, flyglinje och biljettklass.
För ytterligare omkring 376 passagerare kan mer ha kommit ut: e-postadress, telefonnummer, passnummer, nationalitet, medlemsnummer i bonusprogrammet, flightnummer, boardingkortsnummer och platsnummer.
Åtkomsten pågick enligt bolaget mellan den 10 augusti 2023 och den 23 september 2026. Drygt tre år.
Thai Airways understryker att kreditkortsuppgifterna är säkra, att det inte var bolagets egna system som forcerades och att flygtrafiken inte påverkats. Bolaget granskar nu det material Amadeus lämnat och säger att det kommer att kontakta berörda passagerare individuellt när kontrollen är klar.
Luftfartsmyndigheten har lagt sig i
Civil Aviation Authority of Thailand, CAAT, gick ut samma dag och bekräftade att läckan är kopplad till Amadeus och inte till Thai Airways egna system. Myndigheten slår fast att flygsäkerheten inte berörs – och kräver samtidigt att flygbolaget tar hand om de drabbade och kontaktar dem personligen, inte bara med ett allmänt pressmeddelande. CAAT säger sig följa upp både dataskyddet och bolagets cybersäkerhet.
Det här är inte en thailändsk historia
Thai Airways är ett av ett trettiotal flygbolag i samma intrång. Amadeus Altéa, systemet det handlar om, används av omkring 130 flygbolag världen över. Hittills har bland andra följande gått ut med siffror:
| Flygbolag | Berörda bokningar | Besked |
|---|---|---|
| SAS | 350 164 resenärer | 9 november |
| Finnair | cirka 116 000 | 9 november |
| Japan Airlines och Japan Transocean Air | cirka 92 000 | underrättade 23 oktober |
| Thai Airways | 60 529 (+ cirka 376) | 10 november |
| Cathay Pacific | cirka 53 000 | 30 oktober |
| Singapore Airlines | cirka 46 000 | 4 november |
| All Nippon Airways | cirka 37 800 | uppgav antal |
| Korean Air och Asiana | antal ej uppgivet | underrättade 20 oktober |
| Malaysia Airlines | antal ej uppgivet | 31 oktober |
| Condor | antal ej uppgivet | uppgav ej |
Norwegian har också flaggat för intrånget. Enligt norska NRK kan obehöriga ha haft åtkomst i upp till tre år, och det kan gälla norska resenärer som flugit Norwegian eller bokat via resebyrån Berg-Hansen.
Det är SAS-siffran som angår dig
För den som bor i Thailand eller reser hit från Sverige är 350 164 den siffra som betyder något. SAS har anmält händelsen till Integritetsskyddsmyndigheten, IMY.
Enligt SAS handlar det huvudsakligen om äldre bokningar och resor som redan är genomförda. De uppgifter som kan ha röjts är bokningsreferenser, datum, flyginformation och antal passagerare. Bolaget uppger att det inte har identifierat ytterligare kategorier av personuppgifter.
Och här kommer det som är värt att notera: SAS tänker inte kontakta de drabbade. Bolaget har gjort bedömningen att incidenten inte innebär någon hög risk för resenärerna, och har därför valt bort individuell information. Beslutet kan ändras om utredningen ger nya uppgifter.
Det betyder i praktiken att en svensk som flög SAS till Bangkok någon gång mellan augusti 2023 och september 2026 kan finnas i materialet utan att någonsin få veta det.
Vad Amadeus själv säger
Amadeus beskriver händelsen som en säkerhetsbrist, inte som ett dataintrång i traditionell mening: en sårbarhet i en miljö där bokningar visas gjorde vissa uppgifter åtkomliga. Bolaget säger att hålet är stängt, att övervakningen förstärkts, att utredningen pågår och att det inte finns några tecken på att sårbarheten använts för utpressningsvirus.
Amadeus säger sig också kunna bekräfta att det inte finns några belägg för att betalnings- eller finansiella uppgifter kommits åt.
Beskrivningarna går delvis isär. Cathay Pacific har uppgett att den obehöriga åtkomsten skedde med inloggningsuppgifter kopplade till ett Amadeus-systemkonto, och Thai Airways talar om att användarkonton stängts av och lösenord bytts ut. SAS talar om komprometterade inloggningsuppgifter. Om sårbarheten och de kapade kontona är samma sak eller två led i samma händelse har ingen av parterna förklarat.
Men det är ju bara ett bokningsnummer?
Den invändningen är lättare att göra än att försvara.
En bokningsreferens är sex tecken och den är inget hemligt lösenord – den står på boardingkortet, i bagagelappen och i bekräftelsemejlet. Men i kombination med rätt namn är den på många flygbolagssajter tillräckligt för att öppna bokningen, se hela resplanen och i vissa fall ändra i den.
Det verkliga problemet är ändå ett annat: ett riktigt bokningsnummer, ditt riktiga namn, din riktiga rutt och ditt riktiga resdatum gör ett bedrägerimejl trovärdigt på ett sätt som inget massutskick är. Ett mejl som säger ”din flight TG961 den 14 januari är ombokad, bekräfta med bokningsnummer XXXXXX” läses annorlunda när siffrorna stämmer.
Och för de 376 passagerare där passnumret kan ha följt med är det ett annat slags problem. Ett passnummer går inte att byta utan att byta pass.
Vad du gör nu
- Utgå från att ingen hör av sig. SAS har sagt att de inte kontaktar drabbade. Thai Airways säger att de gör det – men först när granskningen är klar, och något datum har inte angetts.
- Misstro allt oväntat om dina bokningar. Mejl, sms och samtal om ombokningar, återbetalningar, bonuspoäng eller ”bekräfta dina uppgifter”. Klicka inte i meddelandet. Gå till flygbolagets app eller skriv in adressen själv.
- Var extra misstänksam mot återbetalningar. Erbjudanden om kompensation som kräver att du lämnar kortuppgifter är det klassiska nästa steg efter en läcka av den här typen.
- Har du en kommande resa med ett av bolagen i listan – kontrollera i appen att bokningen ser ut som den ska. Singapore Airlines har bytt bokningsnummer åt kunder med resa framför sig, och Amadeus har gjort samma sak med aktiva Finnair-bokningar.
- Sluta lägga upp boardingkort på Facebook och Instagram. Bokningsnumret finns i streckkoden. Det var en dålig vana före den här läckan också.
- Du behöver inte spärra kort. Ingen av parterna har uppgett att betalningsuppgifter berörts.
Uppgifterna är kontrollerade den 11 november 2026. Flera flygbolag har kommit med besked löpande under oktober och november, och antalet berörda bolag kan växa. Vi uppdaterar om Thai Airways eller SAS lämnar nya siffror.
Källor
- Thairath – Data om över 60 000 Thai Airways-passagerare har läckt, även pass och telefonnummer
- Thansettakij – CAAT om dataläckan hos Thai Airways: gäller från 2023, påverkar inte flygen
- Bangkok Biznews – CAAT uppmanar Thai Airways att informera passagerarna
- Spacebar – Cyberhotet skakar Thailand: över 60 000 poster från Thai Airways
- Hoonsmart – THAI om att Amadeus bokningssystem hackats
- Göteborgs-Posten/TT – 350 000 SAS-kunder i misstänkt dataläcka
- New Straits Times – Amadeus åtgärdar sårbarhet i bokningssystemet
- Paddle Your Own Kanoo – Singapore Airlines senaste bolaget i Amadeus-läckan
- Cybernews – Finnair: 116 000 bokningar berörda
- The Thaiger – Thai Airways confirms passenger data leak
Av: Bernt Johansson
67 år lever i Thailand
