Över 350 000 SAS-resenärer kan ha fått sina bokningsuppgifter exponerade vid ett dataintrång hos flygbolagets systemleverantör Amadeus. Det handlar framför allt om äldre flygbokningar. SAS bedömer att risken för resenärerna är begränsad och planerar därför inte att kontakta alla berörda. Men vissa uppgifter kan vara användbara för bedragare.

Vilka uppgifter kan ha läckt hos SAS?

Totalt kan 350 164 personer vara berörda av incidenten, enligt SAS anmälan till Integritetsskyddsmyndigheten (IMY), som SVT Nyheter har tagit del av.

Det är framför allt information om flygbokningar som kan ha blivit åtkomlig för obehöriga.

Enligt SAS gäller det huvudsakligen äldre bokningar och resor som redan har genomförts.

Bolaget har hittills inte identifierat att exempelvis lösenord, betalkortsnummer, personnummer eller passnummer har ingått i de exponerade uppgifterna.

Det är samtidigt viktigt att skilja mellan uppgifter som kan ha varit åtkomliga och uppgifter som faktiskt har kopierats eller missbrukats. Det finns ännu inget fastställt antal SAS-resenärer vars information verkligen har hämtats av angriparen.

Behöver du göra något om du har rest med SAS?

Det finns för närvarande ingen generell uppmaning från SAS att kunder ska spärra betalkort, byta lösenord eller boka om sina resor på grund av händelsen.

Vilka försiktighetsåtgärder som är rimliga beror framför allt på om du har en kommande resa eller en gammal bokning.

Den som har en kommande resa kan kontrollera sin bokning direkt hos SAS.

Råden är förebyggande åtgärder. Det finns inga bekräftade uppgifter om att SAS-kunder har utsatts för bedrägerier till följd av just den här incidenten.

Den som vill veta mer om hur olika typer av personuppgifter kan missbrukas kan även läsa vår guide om vad du bör göra om dina personuppgifter har läckt.

Därför kan en bokningsreferens vara känslig

En bokningsreferens kan verka harmlös jämfört med ett lösenord eller ett betalkortsnummer. Men den kan ändå ha ett praktiskt värde.

Hos SAS kan en resenär söka fram sin bokning med hjälp av bokningsreferens och efternamn.

Om någon obehörig får tillgång till båda uppgifterna kan personen potentiellt öppna bokningsinformationen. Vilka ändringar som sedan kan göras beror på bokningen och vilka ytterligare kontroller som krävs.

Det är inte fastställt att angriparen i Amadeus-incidenten har haft tillgång till de kombinationer av uppgifter som behövs för att öppna SAS-kundernas bokningar.

En annan möjlig risk är nätfiske.

Information om en verklig resa kan användas för att göra ett falskt mejl eller sms mer trovärdigt. Ett meddelande som nämner rätt flygdatum eller bokningsnummer kan uppfattas som äkta även om avsändaren är en bedragare.

Ett sådant meddelande skulle exempelvis kunna påstå att en resa måste bekräftas eller att en extra avgift behöver betalas.

Det är en tänkbar risk med exponerad bokningsinformation, inte ett konstaterat bedrägeri i det aktuella SAS-fallet.

Så kunde uppgifterna bli åtkomliga

Intrånget har skett hos Amadeus, ett internationellt teknikföretag vars system används inom flygbranschen.

Enligt uppgifterna i SAS anmälan har en extern aktör använt komprometterade systemuppgifter för att få tillgång till Amadeus miljö. Därefter har automatiserade sökningar genomförts.

Amadeus har bekräftat en säkerhetsincident där viss bokningsinformation har varit åtkomlig. Företaget uppger att den aktuella sårbarheten har åtgärdats och att händelsen fortfarande utreds.

Enligt norska säkerhetsmyndigheten NSM stängdes sårbarheten den 23 september 2026.

Det har också framkommit uppgifter om att hotaktören kan ha haft åtkomst till Amadeus system under en betydligt längre period.

Det innebär däremot inte att SAS-resenärernas uppgifter har varit exponerade under hela den tiden.

Händelsen visar hur kundinformation hos flera flygbolag kan påverkas när en gemensam systemleverantör drabbas. Även om själva flygbolagets egna system inte har utsatts för ett direkt intrång kan uppgifter hos en extern leverantör bli tillgängliga för obehöriga.

Varför kontaktar SAS inte alla resenärer?

SAS har anmält incidenten till IMY men bedömer enligt anmälan att den inte innebär en så hög risk att individuell information till alla potentiellt berörda är nödvändig.

Det betyder att bolaget inte planerar att skicka särskilda varningar till samtliga drygt 350 000 personer.

Enligt dataskyddsförordningen GDPR ska den som ansvarar för personuppgifter i vissa fall informera berörda personer om en incident.

Avgörande är bland annat vilka uppgifter som har exponerats, vilka konsekvenser det kan få och hur stor risken är för de enskilda personerna.

Om en personuppgiftsincident sannolikt leder till hög risk för människors rättigheter och friheter krävs som huvudregel att de berörda informeras utan onödigt dröjsmål.

SAS nuvarande bedömning kan behöva ändras om utredningen visar att fler eller känsligare uppgifter har blivit åtkomliga.

Att bolaget har gjort en riskbedömning innebär inte heller att IMY har godkänt den. Något sådant beslut har inte redovisats.

Även Finnair och Norwegian berörs

SAS är inte det enda flygbolaget som har påverkats av säkerhetsincidenten hos Amadeus.

Finnair har uppgett att cirka 116 000 bokningar omfattas av incidenten. Efter närmare granskning identifierades omkring 750 bokningar för särskild kontroll.

Endast en mindre del av dessa var fortfarande aktiva. Finnair har gett de aktuella bokningarna nya bokningsnummer och meddelat att berörda kunder ska informeras.

Det finns en viktig skillnad mellan siffrorna: SAS uppgift gäller antal potentiellt berörda personer, medan Finnairs uppgift gäller antal bokningar. De kan därför inte jämföras direkt.

Även resenärsuppgifter med koppling till Norwegian och resebyrån Berg-Hansen har berörts av den bredare incidenten.

I Norge har myndigheterna redovisat att fler typer av uppgifter kan finnas bland den information som blivit åtkomlig, bland annat passnummer, kontaktuppgifter och detaljer om resor.

Det betyder inte att motsvarande information har läckt om SAS-resenärer.

Varje flygbolags uppgifter måste bedömas separat. De använder visserligen samma systemleverantör, men det innebär inte att identiska uppgifter har blivit exponerade eller att riskerna är lika stora.

Vad händer nu med SAS-dataläckan?

Amadeus fortsätter att utreda incidentens omfattning och vilka uppgifter som kan ha nåtts av den obehöriga aktören.

För SAS återstår framför allt att klarlägga om informationen om de potentiellt berörda resenärerna faktiskt har hämtats och om ytterligare uppgiftskategorier behöver läggas till i anmälan.

Det finns i nuläget inget bekräftat besked om att SAS-resenärer behöver vidta omfattande säkerhetsåtgärder.

För den som bara har gamla, avslutade resor finns heller ingen anledning att kontakta banken eller ändra sina bokningar enbart på grund av nyheten.

Den som har en kommande flygresa har däremot anledning att vara uppmärksam på oväntade bokningsändringar och misstänkta betalningskrav.

Om SAS utredning visar att riskerna är större än vad bolaget hittills har bedömt kan även beskedet om att inte kontakta resenärerna behöva omprövas.