Berg-Hansen og Norwegian har varslet Datatilsynet om en omfattende datalekkasje etter et datainnbrudd hos billettsystemet Amadeus.
Administrerende direktør ved Berg-Hansen, Norges største reisebyrå, sier til NRK at de også har orientert «politisk følsomme» kunder.
Detaljer om billetter kjøpt gjennom Berg-Hansen, Norwegian og flere norske reiselivsbedrifter har vært på avveier siden 2023.
I verste fall kan personlige detaljer og passopplysninger fra nordmenns reiser, bestilt av privatpersoner og mer enn 190 norske statlige og private virksomheter, være i hendene på en trusselaktør.
Det har skjedd som følge av en sikkerhetsbrist hos den spanske IT-leverandøren Amadeus.
Datatilsynet mottok en avviksmelding fra Berg-Hansen om dette 27. oktober. De har også blitt varslet av Norwegian-konsernet, som også eier Widerøe.
– Det er en sak vi kommer til å ta på stort alvor, og som vi jobber med allerede nå. Det er veldig detaljerte opplysninger som aktøren har hatt tilgang til. For enkeltpersoner kan det brukes til svindel, og det er risiko for identitetstyveri, sier Line Coll, direktør i Datatilsynet.
Nasjonal sikkerhetsmyndighet (NSM) bekrefter overfor NRK at de har varslet relevante virksomheter og departement.
– NSM er kjent med at sensitive data er lekket. Vi informerer om dette slik at norske virksomheter kan gjøre nødvendige tiltak for å redusere eventuell risiko, sier NSM-direktør Arne Christian Haugstøyl.
Identitet, passnummer og reisemønster
NSM skriver til NRK at de legger til grunn at alle bedrifter som har brukt Amadeus, informer sine kunder og anbefaler nødvendige tiltak.
Berørte virksomheter oppfordres til å vurdere hvilken sikkerhetsrisiko det utgjør at en trusselaktør kan sitte på opplysninger om ansatte i egen organisasjon.
Det betyr at de som har bestilt reiser selv må vurdere om personopplysninger og reiseinformasjonen kan utgjøre en risiko for den enkelte, bedriften eller sikkerhetsinteresser.
– Det er meget viktig at norske virksomheter, uavhengig om de er underlagt sikkerhetsloven eller ikke, forstår at cyberrisikoen er høyere enn før, sier Haugstøyl.
NSM ber alle bedrifter som er rammet om å forholde seg til informasjon de får fra sitt reisebyrå og Datatilsynet.
Berørte bedrifter oppfordres til å vurdere risikoen knyttet til fremtidige reiser bestilt før 23. september 2026.
De blir også oppfordret av NSM om å endre innloggingsdetaljene sine på nettsidene til reisebyråene, samt til å gjøre egne risikovurderinger og tiltak for å beskytte personopplysninger og registrert informasjon.
Datalekkasjen har ikke skjedd i Berg-Hansen eller Norwegians systemer.
Det er den globale IT-leverandøren Amadeus som har hatt en sårbarhet som har blitt utnyttet av uvedkommende for å hente ut personsensitive data.
Norges største reisebyrå rammet
Tidligere i uken varslet flere asiatiske flyselskap om at personinfo fra titusenvis av reiser har lekket.
Per Arne Villadsen er administrerende direktør i Berg-Hansen. Også NRK bruker Berg-Hansen.
Han forteller at Berg-Hansen ble informert 26. oktober om at Amadeus hadde oppdaget en inntrengning i sine systemer den 21. september.
Amadeus oppga at de hadde fått stengt den uautoriserte tilgangen tre dager senere.
– Noen har hatt tilgang på systemene hos Amadeus og dermed hatt tilgang til å se på passasjerlister, sier administrerende direktør i Berg-Hansen Per Arne Villadsen til NRK.
Noen av disse stammer fra reiser bestilt gjennom Berg-Hansen. Villadsen opplyser at passasjerlistene inneholder informasjon om navn, fødselsdato, firmanavn, e-postadresse og telefonnummer til de som har reist. I noen tilfeller har det også vært oppgitt passinformasjon.
– Det er en type sensitiv informasjon som man ikke vil skal komme på avveier, sier Villadsen.
Det er det spanske selskapet Amadeus IT som har ansvaret for at personsensitive opplysninger er trygt oppbevart. Villadsen sier at Berg-Hansen likevel valgte å informere sine kunder i forrige uke.
Berg-Hansen har også meldt fra til Datatilsynet og Nasjonal sikkerhetsmyndighet. De har etter råd fra disse orientert kunder av Berg-Hansen som har en politisk følsomhet.
Villadsen sier Berg-Hansen ikke vet noe om hvem som skal ha stått bak, men sier det fremstår som målrettet.
Administrerende direktør i Berg-Hansen sier de i etterkant har fått vite at uvedkommende har kikket på i underkant av 300 reisebestillinger i 75 ulike virksomheter i Norge, både statlige og private. Alle virksomhetene blir orientert, sier Villadsen til NRK. NRK bruker også Berg-Hansen.
– Det er svært uheldig at inntrengere har hatt tilgang siden 2023. Vi har tatt dette alvorlig og vil fortsette å informere alle, sier Villadsen.
Han sier de har bedt om en detaljert rapport fra Amadeus.
Stortinget bekreftar at de er varslet og har tett kontakt med Berg-Hansen.
– Vi har fått opplyst derfra at våre data ikke er omfattet av lekkasjen, sier Cathrine Andersen, er avdelingsleder for internasjonal avdeling.
Informasjon har blitt hentet ut i 3 år
Amadeus er en felles plattform for booking av billetter til fly, men også til hotell og tog. Det driftes av et selskap med samme navn: Amadeus IT, med hovedkvarter i Madrid.
Amadeus skriver på egne nettsider at de har oppdaget «en sårbarhet som angår systemet som viser reise-bookinger» og at «visse booking-data ble tilgjengelig».
De skriver at «ingen betalings- eller finansiell informasjon har blitt hentet ut» og at det er «ingen indikasjoner på at sårbarheten har blitt utnyttet for løsepengevirus».
Amadeus skriver ikke om persondata har kommet på avveier eller ikke. Det har imidlertid mange av kundene til Amadeus gjort. Singapore Airlines har varslet om at bookingdetaljer for 46.000 reiser kan være på avveier, ifølge Bloomberg.
Japan Airlines varslet om at 92.000 kunder kan være omfattet, og at for 2.000 av dem kan e-postadresse, telefonnummer og passnummer være lekket.
Amadeus vil ikke utdype detaljer om datalekkasjen til NRK, men viser til pressemeldingen. Ifølge Japan Airlines har Amadeus funnet spor etter uvedkommende i datasystemene mellom august i 2023 og september 2026.
Norwegian varslet Datatilsynet
NRK har vært i kontakt med Norwegian, som også bekrefter at de er berørt av en sikkerhetshendelse som involverer Amadeus.
De vil ikke si hvor mange passasjerer dette kan gjelde.
– Vi samarbeider tett med Amadeus for å vurdere konsekvensene og sikre at nødvendige tiltak blir iverksatt, skriver pressesjef i Norwegian Catharina Solli i en e-post til NRK.
Hun understreker at de tar kundenes personopplysninger svært alvorlig. Norwegian-konsernet har også sendt en avviksmelding til Datatilsynet om samme hendelse.
– På nåværende tidspunkt kan vi ikke gi ytterligere kommentarer om det konkrete omfanget eller arten av konsekvensene.