Fuite de données de Qantas en 2025

Les types de données confirmés comprennent le nom, l’adresse e-mail, le numéro Qantas Frequent Flyer, le niveau dans le programme de fidélité, le solde de points, les crédits de statut, l’adresse personnelle ou professionnelle, la date de naissance, le numéro de téléphone, le genre et les préférences alimentaires. La communication officielle précisait que 4 millions d’enregistrements se limitaient au nom, à l’adresse e-mail et aux informations de fidélité; les 1,7 million d’enregistrements restants comprenaient, en plus de ces champs, des données telles que l’adresse, la date de naissance, le numéro de téléphone, le genre ou les préférences alimentaires.

Bien que ce jeu de données ne contienne ni informations bancaires ni informations de passeport, il peut servir à l’hameçonnage et à la préparation de prises de contrôle de comptes. Les attaquants peuvent combiner les numéros de fidélité, les marques des compagnies aériennes, les adresses e-mail et les numéros de téléphone pour créer de faux messages de service client ou des scénarios portant sur des mises à jour de points de fidélité, des problèmes de réservation, la livraison de bagages ou la vérification de comptes. Pour les personnes dont la date de naissance et l’adresse figurent dans les données, le risque que quelqu’un devine les réponses aux questions de sécurité ou tente une fraude sur d’autres services est plus élevé.

Le périmètre confirmé de la fuite est la plateforme tierce de service client associée au centre d’appels de Qantas. L’entreprise a déclaré que l’incident n’avait pas affecté la sécurité des opérations aériennes, que les systèmes principaux de Qantas étaient restés sécurisés et que les comptes de fidélité n’avaient pas été directement compromis. Les mots de passe, les codes PIN et les identifiants de connexion n’ayant pas été consultés, cette fiche ne classe pas l’incident comme une fuite de mots de passe.

Le total de 5,7 millions de personnes correspond au nombre de clients distincts annoncé après suppression des doublons. Les champs de données ne sont pas les mêmes pour chaque utilisateur. Environ 1,2 million d’enregistrements contiennent le nom et l’adresse e-mail; environ 2,8 millions contiennent le nom, l’adresse e-mail et le numéro de fidélité; une grande partie de ce groupe comprend le niveau de fidélité, tandis qu’une plus petite partie comprend le solde de points et les crédits de statut. Pour les 1,7 million de personnes restantes, des champs supplémentaires tels que l’adresse, la date de naissance, le numéro de téléphone, le genre et les préférences alimentaires étaient présents dans des combinaisons variables.

Les principales personnes à risque sont les clients de Qantas et les membres de son programme de fidélité. Les personnes ayant un dossier auprès du centre d’appels ou sur la plateforme de service client peuvent avoir été touchées par cet incident, même sans avoir réservé directement un vol. Pour les personnes disposant de comptes ou de dossiers de service client associés à plusieurs adresses e-mail, le périmètre des enregistrements concernés peut sembler différent, car l’entreprise a évalué les dossiers clients sur la base d’adresses e-mail uniques.

Le risque le plus élevé concerne les clients pour lesquels des champs supplémentaires sont présents, comme l’adresse, la date de naissance et le numéro de téléphone. Ces personnes peuvent être confrontées à des tentatives de fraude plus convaincantes : faux appels du centre d’appels, modifications de voyage, remboursements de points, livraison de bagages, vérification d’identité ou alertes de sécurité concernant leur compte de fidélité. Des champs présents en faible nombre, comme les préférences alimentaires, peuvent également servir à créer des messages personnalisés; même les détails apparemment mineurs ont donc leur importance dans un contexte de fraude.

Si vous pensez être concerné, vérifiez d’abord quels champs sont mentionnés dans les notifications de Qantas. N’utilisez pas les liens transmis dans des e-mails, des SMS ou des appels téléphoniques inattendus. Si vous devez contacter l’entreprise, effectuez une vérification indépendante en passant par ses canaux officiels connus. En particulier, si un mot de passe, un code de vérification, des informations de paiement ou des documents vous sont demandés sous prétexte de vérifier un solde de points, d’assurer la sécurité des comptes, de corriger une réservation ou de livrer des bagages, ne considérez pas cette demande comme sûre.

Activez la vérification en deux étapes sur vos comptes de messagerie personnels et utilisez des mots de passe uniques pour vos comptes de fidélité et vos comptes liés aux voyages. Bien que Qantas ait déclaré que les mots de passe n’avaient pas été consultés lors de cet incident, les escrocs peuvent utiliser les données d’identité et les coordonnées divulguées pour tenter d’accéder à d’autres comptes. Si votre adresse ou votre date de naissance a été divulguée, mettez à jour vos questions de sécurité sur les autres services et examinez attentivement toute notification inattendue de récupération de compte.

Cet incident montre que les centres d’appels et les plateformes tierces d’assistance client présentent des risques majeurs pour les données des clients des compagnies aériennes. Les informations sur les passagers, les détails des programmes de fidélité et les dossiers de service client peuvent constituer une base solide pour des fraudes ciblées, même s’ils ne contiennent pas directement d’informations de paiement. Les organisations devraient mettre en place, sur ces plateformes, une minimisation des données, une journalisation détaillée des accès, une authentification forte, une surveillance des anomalies de comportement et des audits réguliers de sécurité des prestataires.

Pour les utilisateurs, la protection à long terme ne doit pas se limiter à une vérification ponctuelle des notifications. Les comptes de voyage, les comptes de messagerie, les programmes de fidélité et les échanges avec le service client doivent être surveillés conjointement. Si votre numéro de fidélité et votre adresse e-mail ont été divulgués, restez vigilant dans les mois à venir face aux tentatives de fraude aux points, aux fausses campagnes promotionnelles, aux modifications de réservation et aux personnes se faisant passer pour le centre d’appels. Les informations personnelles ne changeant pas, le risque ne se limite pas à la semaine de l’annonce de l’incident.

Cette fiche LeakData a été préparée pour présenter clairement le nombre de personnes touchées, la date de l’incident, les champs divulgués et les types de données exclus du périmètre de la fuite confirmée de Qantas en 2025. La seule présence de cette fiche dans les résultats d’une recherche par adresse e-mail ne prouve pas quels champs ont été touchés pour une personne donnée; elle indique toutefois que les clients de Qantas ou les membres de son programme de fidélité doivent vérifier les notifications de l’entreprise et les paramètres de sécurité de leurs comptes.

Si cette fiche apparaît dans vos résultats, vérifiez d’abord votre compte Qantas, vos coordonnées enregistrées, vos informations de fidélité et les éventuelles notifications de voyage. Si vous recevez un message ou un appel suspect, vérifiez son authenticité auprès du canal d’assistance connu de l’entreprise et ne communiquez ni informations personnelles ni codes de vérification de compte. Tout en précisant que les données financières et les informations de passeport sont hors du périmètre de l’incident, cette fiche classe le risque d’ingénierie sociale ciblée comme hautement prioritaire, compte tenu du grand nombre de clients concernés et de la présence de données du programme de fidélité.