Personopplysninger, passnummer og reisemønstre fra nordmenns flyreiser kan ha havnet hos uvedkommende etter et omfattende datainnbrudd. En trusselaktør har hatt tilgang til reisebestillinger fra minst 75 norske virksomheter.

Nasjonal sikkerhetsmyndighet (NSM) advarer om sikkerhetsrisikoen.

– Sensitive data er lekket

Både Norwegian og Norges største reisebyrå, Berg-Hansen, har varslet Datatilsynet etter innbruddet hos den spanske IT-leverandøren Amadeus, melder NRK.

Over 190 norske offentlige og private virksomheter kan være berørt. Berg-Hansen har fått opplyst at uvedkommende har undersøkt nærmere 300 reisebestillinger fordelt på 75 virksomheter.

Informasjonen omfatter blant annet identitet, reiseruter, kontaktopplysninger og i enkelte tilfeller passnummer.

– NSM er kjent med at sensitive data er lekket. Vi informerer om dette slik at norske virksomheter kan gjøre nødvendige tiltak for å redusere eventuell risiko, sier NSM-direktør Arne Christian Haugstøyl til NRK.

Myndighetene advarer om at opplysningene kan avsløre ansattes reisemønstre. Berg-Hansen har derfor varslet kunder som vurderes som politisk følsomme.

Forsvaret har tidligere benyttet Berg-Hansen til tjenestereiser, ifølge Forsvarets forum. Det er ikke kjent om Forsvarets opplysninger er blant dem som er eksponert.

Les også: NSM slår cyberalarm – tredobling av vellykkede angrep mot Norge

Tilgang siden 2023

Amadeus oppdaget innbruddet i september, men sporene etter uvedkommende strekker seg tilbake til august 2023. Berg-Hansens direktør Per Arne Villadsen sier at innbruddet fremstår som målrettet.

Det er foreløpig ukjent hvem som står bak.

Norwegian-konsernet, som også eier Widerøe, bekrefter at det er berørt, men har ikke opplyst hvor mange reisende det gjelder.

Amadeus opplyser at sårbarheten er rettet, og at det ikke er funnet bevis for at betalingsopplysninger er hentet ut.

NSM oppfordrer berørte virksomheter til å endre innloggingsopplysninger hos reisebyråene og vurdere risikoen for ansatte og fremtidige reiser.

Les også: Flere norske universiteter kan være berørt av datainnbrudd