Kebocoran Data Amadeus, 350 Ribu Booking Pesawat Bocor dan Risiko Phishing Mengintai

Apa yang Terjadi pada Amadeus

Pada 9 November 2026, penyiar publik Swedia SVT melaporkan bahwa data booking 350.164 penumpang maskapai SAS kemungkinan bocor melalui Amadeus, perusahaan teknologi yang menjalankan sistem reservasi penerbangan maskapai itu. SAS sudah melaporkan insiden ini ke otoritas perlindungan data Swedia, IMY, dan menyebut data yang bocor sebagian besar berasal dari booking lama dan perjalanan yang sudah selesai. SAS memutuskan untuk tidak menghubungi seluruh penumpang yang terdampak satu per satu, karena menilai insiden ini tidak menimbulkan risiko tinggi menurut aturan GDPR. Angka 350.164 itu hanya ujung dari sebuah insiden yang jauh lebih besar, karena Amadeus adalah pemasok sistem reservasi bagi lebih dari 400 maskapai di seluruh dunia, menurut PrivacyOn yang merangkum pengumuman para maskapai pada November 2026.

Kebocoran data Amadeus mulai terungkap ke publik secara bertahap. Amadeus menerbitkan pernyataan pada 1 Oktober 2026 bahwa pihaknya menemukan kerentanan pada lingkungan tampilan untuk booking perjalanan, setelah menerima peringatan pada 21 September 2026. Menurut catatan ANA yang dikutip Aviation Wire, Amadeus mendeteksi akses pihak ketiga yang tidak sah pada 24 September 2026, dan Otoritas Keamanan Nasional Norwegia (NSM) menyatakan kerentanan itu ditutup pada 23 September 2026. Rentang booking yang terdampak sangat panjang, yaitu 10 Agustus 2023 sampai 23 September 2026, sehingga data yang bocor mencakup perjalanan selama lebih dari tiga tahun.

Maskapai pertama baru diberitahu pada 20 Oktober 2026, hampir sebulan setelah akses terdeteksi. Korean Air menerima pemberitahuan resmi pukul 22.44 waktu Korea dan Asiana pada 22.49 di hari yang sama, sementara ANA juga diberitahu pada 20 Oktober setelah menanyakan sendiri statusnya pada 16 Oktober. Japan Airlines dan Japan Transocean Air diberitahu pada 23 Oktober dan mengumumkannya pada 28 Oktober. Cathay Pacific diberitahu pada 28 Oktober, Singapore Airlines mengumumkan pada 3 November, dan SAS beserta Finnair baru muncul di pemberitaan pada 9 November 2026. Amadeus menyatakan kerentanan sudah diperbaiki dan pemantauannya ditingkatkan, serta tidak ada bukti data pembayaran atau keuangan yang diakses dan tidak ada tanda penggunaan ransomware, sementara penyelidikannya masih berlanjut.

Maskapai yang Terkena Dampak dan Jumlah Korbannya

Jumlah korban kebocoran data Amadeus terus bertambah setiap kali ada maskapai yang mengumumkan hasil penelusurannya. Tabel berikut merangkum angka yang sudah diumumkan secara resmi sampai 9 November 2026.

Angka-angka di atas tidak bisa dijumlahkan menjadi satu total, karena sebagian menghitung penumpang dan sebagian menghitung reservasi. Finnair misalnya menghitung reservasi, bukan individu. Yang jelas, kebocoran data penumpang ini menyentuh ratusan ribu orang di sedikitnya sepuluh maskapai, dan angka akhirnya masih bisa berubah selama penyelidikan berjalan.

Data Apa Saja yang Bocor dalam Insiden Ini

Data penumpang yang bocor dalam kebocoran data Amadeus terdiri dari beberapa lapisan. Lapisan pertama adalah data yang hampir pasti ada di setiap catatan booking, yaitu nama penumpang, booking reference atau kode PNR, tanggal perjalanan, rute dan itinerary, kelas booking, serta jumlah penumpang. SAS menyebut empat kategori ini sebagai data yang teridentifikasi pada catatannya, yaitu booking reference, tanggal, detail penerbangan, dan jumlah penumpang.

Lapisan kedua adalah data penumpang yang lebih sensitif dan hanya muncul pada sebagian kecil catatan. Japan Airlines menyebut sekitar 2.000 dari 92.000 pelanggannya juga mengalami keterlihatan alamat email, nomor telepon, nomor paspor, kewarganegaraan, nomor mileage, nomor penerbangan, nomor tiket, dan nomor kursi. ANA melaporkan pola serupa pada sekitar 1.700 pelanggannya. Singapore Airlines menyebut 620 dari 46.000 catatan booking-nya mungkin juga berisi alamat email, nomor telepon, detail dokumen perjalanan, dan nomor keanggotaan KrisFlyer. NSM Norwegia memperingatkan bahwa, tergantung pada isi booking-nya, data yang berpotensi diakses juga bisa mencakup rute perjalanan, detail kontak, dan nomor paspor.

Ada dua hal penting yang menurut Amadeus dan para maskapai tidak ikut bocor. Pertama, tidak ada bukti bahwa data pembayaran atau keuangan, termasuk nomor kartu kredit dan rekening bank, berhasil diakses. Kedua, kata sandi akun tidak termasuk dalam data yang bocor, seperti ditegaskan Japan Airlines, Japan Transocean Air, dan ANA dalam pemberitahuan mereka. Kabar baik ini tidak membuat insiden menjadi sepele, karena kombinasi nama, booking reference, dan itinerary saja sudah cukup untuk menyusun penipuan yang sangat meyakinkan.

Bagaimana Pelaku Masuk ke Sistem Amadeus

Menurut laporan SVT yang dikutip NordiskPost pada 9 November 2026, pelaku dari luar memakai kredensial sistem yang sudah dikompromikan untuk masuk ke sistem booking Amadeus, lalu menjalankan pencarian otomatis terhadap data booking. Cathay Pacific menyampaikan penjelasan yang sejalan, yaitu pihak yang tidak berwenang memakai kredensial login yang diberikan untuk sebuah akun sistem Amadeus. Dengan kata lain, pelaku tidak membobol tembok dari luar dengan menyerang langsung, melainkan masuk memakai kunci yang sudah mereka dapatkan, lalu menguras data secara otomatis dalam jumlah besar.

Durasi aksesnya juga patut diperhatikan. NSM Norwegia menyatakan pada 6 November 2026 bahwa pelaku yang tidak berwenang mungkin sudah memiliki akses ke sistem Amadeus selama setidaknya tiga tahun. Rentang booking yang terdampak, 10 Agustus 2023 sampai 23 September 2026, selaras dengan perkiraan tersebut. Amadeus sendiri menggambarkan akar masalahnya sebagai kerentanan pada lingkungan tampilan booking, yang kini sudah diperbaiki. Sampai artikel ini ditulis, Amadeus belum mengumumkan siapa pelakunya, bagaimana kredensial itu bocor, dan apakah data tersebut sudah dijual atau disebarkan, karena penyelidikannya masih berjalan.

Mengapa Kebocoran Ini Berbahaya Meski Tanpa Data Kartu Kredit

Banyak orang menganggap kebocoran data Amadeus tidak berbahaya karena tidak ada data kartu kredit yang bocor. Anggapan itu keliru, karena data booking pesawat punya nilai yang berbeda dari data keuangan. Seorang penipu yang memegang nama, nomor penerbangan, rute, dan tanggal perjalanan kamu bisa menulis email yang terlihat seperti pemberitahuan resmi maskapai, lengkap dengan detail perjalanan yang benar. Korban yang menerima pesan semacam itu jauh lebih mudah percaya, karena isi pesannya cocok dengan perjalanan yang memang pernah atau akan ia lakukan.

Bahaya kedua datang dari kode PNR itu sendiri. Booking reference atau PNR adalah kode enam karakter yang, bila dipasangkan dengan nama penumpang, sering kali cukup untuk melihat atau bahkan mengubah sebuah booking di situs maskapai. Penipu yang memegang data booking pesawat kamu bisa memeriksa jadwalmu, dan dalam beberapa kasus mengubah detail booking, sebelum kamu menyadarinya. Bahaya ketiga menyasar akun frequent flyer, karena nomor keanggotaan yang bocor membuat akun miles menjadi target pencurian poin, meski kata sandinya tidak bocor.

Bahaya keempat adalah nomor paspor. Berbeda dengan kata sandi, nomor paspor tidak bisa kamu ganti dengan sekali klik, dan nomor yang sama dipakai bertahun-tahun. Bahaya kelima adalah penggabungan data. Data booking pesawat yang bocor menjadi jauh lebih berbahaya bila penjahat mencocokkannya dengan alamat rumah, nomor telepon, dan kerabat dari kebocoran lain, lalu memakainya untuk pencurian identitas. Pola ini sejalan dengan cara kerja malware infostealer yang kami bahas sebelumnya, di mana data curian dari satu sumber dipakai untuk membobol akun di layanan lain melalui credential stuffing dan phishing yang dipersonalisasi. Baca juga artikel kami tentang malware infostealer yang membocorkan 326 ribu komputer dalam sebulan untuk memahami bagaimana data curian beredar dan dipakai ulang oleh penjahat siber.

Konteksnya juga penting. Identity Theft Resource Center mencatat 3.158 kompromi data di Amerika Serikat sepanjang 2024, seperti dikutip Gizmodo pada November 2026. Sebagian besar orang yang menerima notifikasi pelanggaran data tidak pernah mengalami penipuan, tetapi langkah yang kamu ambil dalam 24 sampai 48 jam pertama setelah menerima pemberitahuan sangat menentukan seberapa besar risikonya.

Phishing Bermodus Jadwal Penerbangan Menjadi Ancaman Terbesar

Ancaman paling nyata dari kebocoran data Amadeus bukanlah peretasan lanjutan, melainkan gelombang phishing yang memakai data booking pesawat asli sebagai umpan. Maskapai-maskapai yang terdampak sudah memperingatkan hal ini secara eksplisit dalam pemberitahuan mereka. Japan Airlines, Korean Air, dan Asiana memperingatkan soal email, panggilan, dan situs palsu yang menyamar sebagai mereka, sementara ANA juga memperingatkan soal iklan di media sosial. JAL, JTA, Korean Air, dan Asiana menyatakan bahwa sampai pemberitahuan mereka diterbitkan, belum ada penyalahgunaan atau kerugian lanjutan yang terkonfirmasi, tetapi kewaspadaan tetap diperlukan.

Modus yang paling mungkin muncul adalah pesan tentang konfirmasi check-in, perubahan atau pembatalan penerbangan, refund permintaan maaf, dan miles yang akan kedaluwarsa. Semua pesan itu masuk akal bagi seseorang yang baru saja bepergian, apalagi bila pesannya menyebut nomor penerbangan, rute, dan tanggal yang benar. Prinsip yang harus kamu pegang adalah jangan pernah memakai tautan atau nomor telepon yang ada di dalam pesan semacam itu, betapa pun meyakinkannya isinya. Buka aplikasi resmi maskapai atau ketik sendiri alamat situsnya di browser, lalu periksa status booking kamu dari sana.

Lima Langkah Melindungi Diri Setelah Kebocoran Data Amadeus

Bila kamu pernah memesan penerbangan dengan maskapai yang memakai sistem Amadeus antara Agustus 2023 dan September 2026, lima langkah berikut adalah tindakan paling masuk akal yang bisa kamu lakukan sekarang.

Periksa Pemberitahuan Resmi dari Maskapai

Cek kotak masuk email kamu untuk pemberitahuan dari maskapai yang kamu pakai, dan baca pengumuman resmi di situs maskapai itu dengan mengetik sendiri alamatnya di browser. Japan Airlines, ANA, dan Cathay Pacific sudah menerbitkan pemberitahuan dan menghubungi pelanggan yang terdampak secara langsung. Bila kamu memesan lewat agen perjalanan atau situs travel online, tanyakan kepada mereka sistem maskapai mana yang dilalui booking kamu, karena agen tersebut yang bisa memastikan apakah data kamu termasuk yang bocor.

Amankan Akun Frequent Flyer Kamu

Kata sandi memang tidak bocor, tetapi nomor frequent flyer sudah cukup untuk menjadikan akun miles sebagai target. Ganti kata sandi akun frequent flyer kamu dengan kata sandi panjang yang tidak dipakai di layanan lain, aktifkan otentikasi dua faktor bila tersedia, dan periksa riwayat penukaran miles, transfer ke mitra, serta perubahan profil seperti alamat dan email untuk memastikan tidak ada aktivitas yang tidak kamu kenali.

Kunci Booking yang Masih Aktif

Untuk perjalanan mendatang yang dipesan dalam rentang waktu terdampak, masuk ke situs maskapai dan pastikan tidak ada yang berubah, baik nama, kursi, email kontak, maupun permintaan refund. Bila maskapai mengizinkan, tambahkan PIN pada booking atau ganti email kontaknya. Finnair bahkan sudah memberikan nomor referensi baru untuk sejumlah kecil booking yang masih aktif, dan bila kamu melihat perubahan yang tidak kamu lakukan, segera hubungi maskapai melalui nomor yang tercantum di situs resminya.

Waspada Pesan tentang Refund dan Perubahan Jadwal

Pesan yang mengabarkan penerbangan dibatalkan dan menawarkan refund lewat sebuah tautan adalah modus klasik setelah kebocoran data Amadeus seperti ini. Jangan klik tautannya dan jangan membalas pesannya. Periksa status penerbangan langsung di aplikasi resmi maskapai, karena informasi jadwal yang benar selalu tersedia di sana tanpa perlu mengklik tautan dari pesan yang mencurigakan.

Perketat Akun Email dan Aktifkan Otentikasi Dua Faktor

Akun email adalah kunci utama, karena email bisa dipakai untuk mereset hampir semua akun lain yang kamu miliki. Ganti kata sandi email dengan kata sandi yang kuat dan unik, lalu aktifkan otentikasi dua faktor, idealnya lewat aplikasi authenticator. Setelah itu, periksa laporan rekening bank dan kartu kredit kamu selama dua bulan terakhir dan aktifkan notifikasi transaksi di aplikasi perbankan, supaya kamu langsung tahu bila ada pembelian yang tidak kamu lakukan. Langkah ini dianjurkan Gizmodo dalam panduan pasca pelanggaran data yang diterbitkannya pada November 2026.

Cara Mengenali Email dan SMS Phishing yang Mengatasnamakan Maskapai

Email phishing yang bagus tidak lagi penuh dengan salah ketik dan bahasa yang aneh. Setelah kebocoran data Amadeus, pesan penipuan bisa menyebut nama, rute, dan tanggal perjalanan kamu dengan benar, sehingga kamu harus memeriksa hal lain. Pertama, periksa alamat pengirim dengan teliti, karena domain penipu biasanya mirip dengan domain resmi tetapi tidak sama persis. Kedua, waspadai desakan waktu seperti ancaman booking akan hangus dalam beberapa jam, karena maskapai resmi jarang menekan pelanggan dengan cara seperti itu.

Ketiga, arahkan kursor ke tautan tanpa mengkliknya untuk melihat alamat tujuan yang sebenarnya, dan curigai tautan yang dipendekkan atau mengarah ke domain yang tidak ada hubungannya dengan maskapai. Keempat, maskapai resmi tidak akan meminta kata sandi, kode OTP, atau foto paspor lewat email atau SMS. Bila sebuah pesan meminta data sensitif semacam itu, itu adalah phishing, apa pun detail perjalanan yang ia sebutkan. Bila kamu ragu, hubungi maskapai melalui nomor di situs resminya, bukan nomor yang tercantum di pesan yang mencurigakan itu.

Apa yang Harus Dilakukan Bila Nomor Paspor Kamu Bocor

Nomor paspor yang bocor membutuhkan penanganan yang berbeda dari kata sandi yang bocor. Kamu tidak bisa menggantinya sendiri, dan nomor yang sama akan tetap tercantum di dokumen perjalanan kamu selama bertahun-tahun. Karena itu, bila pemberitahuan dari maskapai menyebut nomor paspor kamu termasuk yang bocor, seperti yang dialami sekitar 2.000 pelanggan Japan Airlines dan sekitar 1.700 pelanggan ANA, jangan pernah mengirim nomor atau foto paspor kepada siapa pun yang memintanya lewat pesan, email, atau telepon.

Langkah berikutnya adalah membaca pemberitahuan maskapai dengan saksama dan mengikuti panduan dari otoritas penerbit paspor di negara kamu. Di Indonesia, paspor diterbitkan oleh Direktorat Jenderal Imigrasi, dan prosedur penggantian paspor karena alasan keamanan bisa kamu tanyakan langsung ke kantor imigrasi terdekat. Keputusan mengganti paspor sebaiknya diambil setelah kamu membaca pemberitahuan maskapai dan panduan otoritas penerbit, serta mempertimbangkan apakah sudah ada tanda-tanda penyalahgunaan identitas atas nama kamu.

Pelajaran dari Insiden Amadeus untuk Pengguna dan Perusahaan

Kebocoran data Amadeus memberi pelajaran penting tentang keamanan siber di era layanan yang saling terhubung. Satu kerentanan di satu pemasok bisa berdampak ke lebih dari 400 maskapai, karena hampir semua maskapai besar mempercayakan sistem reservasinya kepada segelintir penyedia teknologi. Risiko rantai pasok seperti ini tidak terlihat oleh penumpang, tetapi dampaknya langsung terasa ketika data booking pesawat mereka bocor secara massal.

Pelajaran kedua adalah soal kecepatan pemberitahuan. Akses tidak sah terdeteksi pada 24 September 2026, tetapi maskapai pertama baru diberitahu pada 20 Oktober 2026, dan sebagian penumpang baru mengetahui insiden ini pada awal November. Selama jeda itu, data booking sudah berada di tangan pihak yang tidak berwenang tanpa sepengetahuan pemiliknya. Bagi perusahaan, pelajarannya jelas, yaitu kredensial akun sistem harus dipantau dan dirotasi secara berkala, serta akses otomatis dalam volume besar harus memicu peringatan sejak awal, bukan setelah berminggu-minggu.

Pelajaran ketiga ditujukan untuk pengguna. Data yang terlihat tidak sensitif, seperti nomor booking dan jadwal penerbangan, tetap berbahaya bila digabungkan dengan data dari kebocoran lain. Karena itu, biasakan memakai kata sandi yang berbeda untuk setiap layanan penting, aktifkan otentikasi dua faktor di akun email dan akun frequent flyer, serta kurangi jejak data yang kamu tinggalkan di layanan yang tidak kamu perlukan lagi. Keamanan siber bukan hanya urusan perusahaan teknologi, melainkan kebiasaan sehari-hari setiap pengguna internet.

Pertanyaan yang Sering Diajukan

Apakah data kartu kredit saya bocor dalam insiden Amadeus?

Tidak, menurut pernyataan Amadeus dan para maskapai, tidak ada bukti bahwa data pembayaran atau keuangan, termasuk nomor kartu kredit dan rekening bank, berhasil diakses dalam insiden ini.

Apakah kata sandi akun maskapai saya bocor?

Tidak, Japan Airlines, Japan Transocean Air, dan ANA menyatakan bahwa kata sandi tidak termasuk dalam data yang bocor. Namun nomor frequent flyer bisa bocor, sehingga kamu tetap disarankan mengganti kata sandi dan mengaktifkan otentikasi dua faktor.

Saya tidak pernah naik SAS, apakah saya aman?

Belum tentu, karena Amadeus melayani lebih dari 400 maskapai di seluruh dunia. Bila kamu pernah memesan penerbangan dengan maskapai apa pun antara 10 Agustus 2023 dan 23 September 2026, periksa pemberitahuan dari maskapai yang kamu pakai, karena daftar maskapai terdampak masih bisa bertambah selama penyelidikan berjalan.

Berapa lama data saya bisa disalahgunakan?

Data booking tidak kedaluwarsa seperti kata sandi, tetapi nilai praktisnya menurun seiring waktu. Kode PNR dari perjalanan yang sudah selesai jauh kurang berguna, sedangkan nomor paspor, alamat email, dan nomor telepon tetap bernilai selama bertahun-tahun, sehingga kewaspadaan terhadap phishing perlu dijaga dalam jangka panjang.

Haruskah saya mengganti paspor bila nomornya bocor?

Penggantian paspor sebaiknya dipertimbangkan hanya bila pemberitahuan maskapai menyebut nomor paspor kamu bocor dan ada tanda-tanda penyalahgunaan identitas. Baca pemberitahuan maskapai dan panduan otoritas penerbit paspor sebelum mengambil keputusan.

Kesimpulan

Kebocoran data Amadeus adalah pengingat bahwa data booking pesawat yang terlihat sepele bisa menjadi senjata penipuan yang ampuh. Sebanyak 350.164 penumpang SAS, sekitar 116.000 reservasi Finnair, serta puluhan ribu pelanggan Japan Airlines, Cathay Pacific, Singapore Airlines, dan ANA terdampak dalam satu insiden yang berakar pada satu kerentanan di sistem satu pemasok. Data kartu kredit dan kata sandi memang tidak bocor, tetapi nama, booking reference, rute, dan nomor paspor yang bocor sudah cukup bagi penipu untuk menyusun phishing yang memakai detail perjalanan asli kamu.

Langkah paling penting yang bisa kamu lakukan sekarang adalah memeriksa pemberitahuan resmi dari maskapai, mengamankan akun frequent flyer dan email dengan otentikasi dua faktor, mengunci booking yang masih aktif, serta tidak pernah mengklik tautan dari pesan yang mengaku berasal dari maskapai. Kebocoran data mungkin di luar kendalimu, tetapi respons kamu setelahnya sepenuhnya ada di tanganmu. Insiden ini juga menunjukkan bahwa keamanan siber sebuah maskapai kini bergantung pada keamanan siber pemasok teknologinya. Untuk memahami bagaimana data curian dipakai ulang oleh penjahat siber, baca juga liputan NordiskPost tentang kebocoran data SAS di Amadeus yang menimpa 350.164 penumpang dan panduan PrivacyOn tentang langkah perlindungan setelah kebocoran data Amadeus.