Reisedata kan ha vært tilgjengelige i tre år – sjekk bookinger

Publisert 8. november 2026 kl. 07:15.

Nasjonal sikkerhetsmyndighet (NSM) opplyser at en sårbarhet hos den spanske reiseteknologileverandøren Amadeus kan ha gitt en aktør tilgang til reiseopplysninger i minst tre år. Sårbarheten ble stengt 23. september 2026, og Amadeus sier at aktøren ikke lenger har tilgang.

Varslet kom til NSM etter at Berg-Hansen 27. oktober meldte bekymring om bookinger som var gjort gjennom Amadeus. Hvilke opplysninger som kan være eksponert, avhenger av bestillingen. NSM nevner blant annet navn og kontaktinformasjon, reiserute, fly- og billettdetaljer, setevalg, passnummer og nasjonalitet, særskilte servicebehov og fritekstfelt.

Ikke alle data er nødvendigvis rammet

Det er ikke dokumentert at alle opplysningene var tilgjengelige i hver booking. Amadeus opplyser samtidig at selskapet foreløpig ikke har funnet bevis for at betalings- eller finansopplysninger ble hentet ut, og at det ikke er tegn til løsepengevirus. Undersøkelsen pågår fortsatt.

For bedrifter er risikoen større enn vanlig personvernulempe. Sammenstilte reiseplaner kan vise hvor ansatte skal være, når de er borte og hvilke forbindelser de bruker. Det kan være særlig relevant for virksomheter med nøkkelpersoner, sensitive kundemøter, kritisk infrastruktur eller reiser til områder med forhøyet risiko.

Dette bør arbeidsgivere gjøre nå

• Be reisebyrået eller reiseleverandøren avklare om virksomhetens bookinger kan være berørt.
• Kartlegg kommende reiser som ble bestilt før 23. september, og vurder om lekkede reisedetaljer krever endringer eller ekstra sikkerhetstiltak.
• Bytt passord til reisebyråets tjenester, avslutt gamle tilganger og aktiver flerfaktorautentisering der det finnes.
• Dokumenter personvernvurderingen. Dersom virksomheten er behandlingsansvarlig og bruddet kan medføre risiko for de berørte, skal melding til Datatilsynet normalt sendes så raskt som mulig og senest innen 72 timer etter at virksomheten ble kjent med bruddet.

Ved høy risiko skal berørte personer også varsles. Bedriften bør derfor ikke vente på en generell konklusjon hvis den allerede har fått konkret beskjed fra reiseleverandøren.

Kilder

Hovedkilde: NSM – Reiseopplysninger kompromittert hos spansk leverandør.

Tilleggskilder: Amadeus – offisiell redegjørelse og Datatilsynet – avvik og 72-timersfristen.

Foto: Vjikiun / Wikimedia Commons, CC BY-SA 4.0. Illustrasjonsfoto fra Kjevik, tatt i 2019.