Violation de données chez WestJet en 2025

La source principale est l’« Avis d’incident de cybersécurité à l’intention des résidents des États-Unis » publié par WestJet sur son propre site web. La compagnie aérienne y décrit directement la date de l’activité suspecte, l’accès non autorisé, la confirmation de l’obtention de données, le processus d’examen et de notification, les grandes catégories de données concernées, les champs expressément exclus et les mesures de sécurité prises après l’incident.

Un dossier de notification aux consommateurs du Massachusetts confirme le modèle de lettre individuelle, les champs Rewards, les exclusions concernant les cartes et les mots de passe, ainsi que les 24 mois de services Cyberscout. Claim Depot renvoie à la page officielle de WestJet et à plusieurs dossiers des procureurs généraux des États. Il fournit également le total américain de 1,2 million, les sous-ensembles par État et le détail des champs concernés. Les sources concordent sur les principaux faits et sur la portée de l’incident.

WestJet a détecté une activité suspecte dans ses systèmes le 13 juin. L’enquête a révélé qu’un acteur criminel aux méthodes sophistiquées avait obtenu un accès non autorisé. La compagnie aérienne a maîtrisé l’incident, sécurisé ses systèmes et mené des travaux techniques et des analyses forensiques avec des spécialistes internes et externes. Selon son avis, la sécurité et l’intégrité des opérations aériennes n’ont jamais été remises en cause.

Les analyses forensiques ont confirmé que certaines données avaient été obtenues à partir des systèmes de WestJet. L’entreprise a ensuite examiné ces données élément par élément et tenté de retrouver les coordonnées actuelles des résidents américains touchés. Cet examen a été achevé le 15 septembre. L’avis public ne précise ni l’identité de l’auteur, ni la méthode d’accès initiale, ni la durée pendant laquelle l’accès a été maintenu, ni si des fichiers ont été rendus publics.

Les informations variaient selon les personnes et pouvaient comprendre les noms, les dates de naissance, les adresses postales et d’autres coordonnées. Les documents liés aux réservations et aux voyages pouvaient contenir un numéro de passeport ou d’autres informations relatives à des pièces d’identité délivrées par une autorité publique. Les aménagements demandés, les réclamations déposées et d’autres informations de réservation décrivant la relation d’une personne avec WestJet pouvaient également être concernés.

Les informations issues des documents de voyage et des réservations peuvent aider un attaquant à rédiger des messages ciblés donnant l’impression qu’il connaît un voyage à venir ou passé. Les demandes d’assistance particulière ou d’aménagement peuvent permettre de déduire des informations sensibles, mais la source ne confirme aucun diagnostic médical précis.

Pour les membres de WestJet Rewards, le numéro d’identifiant Rewards, le solde de points à la date de l’incident et d’autres informations liées à l’utilisation du compte ont pu être touchés. Pour les clients titulaires d’une carte co-marquée WestJet RBC Mastercard, un identifiant de type de carte, tel que « World Elite », et des informations sur les variations du solde de points pouvaient également être concernés. Ces champs peuvent rendre les tentatives d’hameçonnage visant les comptes de fidélité plus convaincantes.

L’avis officiel exclut expressément des champs importants : les numéros de carte de crédit et de débit, les dates d’expiration et les codes CVV n’ont pas été obtenus, et les mots de passe des utilisateurs invités n’ont pas été touchés. Un identifiant de type de carte n’est pas le numéro de la carte elle-même. WestJet a déclaré n’avoir aucune raison de croire que les points étaient menacés, même si les membres doivent continuer à surveiller l’activité de leur compte.

La fiche comportant des liens vers les sources fait état d’environ 1 200 000 personnes touchées aux États-Unis. Le nombre de personnes ou d’enregistrements touchés publié par la source officielle correspond à la portée déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. Les exemples par État comprennent 1 847 résidents du Massachusetts, 1 487 du Texas, 1 177 de Caroline du Sud, 481 du Montana, 367 de l’Iowa, 289 du New Hampshire et 240 du Maine. Ces sous-ensembles ne doivent pas être ajoutés au chiffre national.

WestJet a indiqué avoir collaboré avec le FBI, le Canadian Centre for Cyber Security, Transport Canada, l’Office of the Privacy Commissioner of Canada et les procureurs généraux des États concernés. TransUnion, Experian et Equifax ont également été informés.

WestJet a mis fin à l’accès non autorisé, renforcé la surveillance et mis en place des mesures supplémentaires de sécurité des systèmes et des données. Les clients éligibles ayant reçu une notification se sont vu proposer 24 mois de surveillance du crédit, de protection de l’identité et d’assistance en cas de fraude par l’intermédiaire de Cyberscout. Une ligne d’assistance au 1-833-294-7065 était disponible de 8 h à 20 h, heure de l’Est, du lundi au vendredi.

Pour vos prochains voyages, vérifiez les informations uniquement dans l’application ou sur le site web officiels. Ne communiquez pas de données de carte de paiement, de documents de voyage ou de connexion en réponse à des messages inattendus prétendant provenir de WestJet. Examinez l’activité de votre compte Rewards, vos rapports de crédit et vos relevés de compte afin de repérer toute activité inconnue; une alerte à la fraude ou un gel du crédit peut être approprié.