KLM cyberaanval: 6 miljoen passagiers getroffen

KLM, de Nederlandse luchtvaartmaatschappij, heeft een datalek bekendgemaakt dat een extern klantenserviceplatform treft. Door het lek zijn contactgegevens van klanten, waaronder namen, telefoonnummers en e-mailadressen, evenals gegevens met betrekking tot het Flying Blue-loyaliteitsprogramma van de luchtvaartmaatschappij, openbaar geworden. Hoewel gevoelige gegevens zoals wachtwoorden en reisgegevens niet zijn gecompromitteerd, brengt het lek een risico met zich mee van mogelijke phishing-aanvallen op getroffen klanten.

Het datalek had ook gevolgen voor Air France, dat deel uitmaakt van dezelfde multinationale luchtvaartmaatschappij. In 2024 vervoerde de Air France-KLM-groep 98 miljoen passagiers over de hele wereld, met een vloot van 564 vliegtuigen en 78.000 medewerkers die ongeveer 300 bestemmingen in 90 landen bedienden.

Details van het datalek bij KLM

Het cyberlek bij KLM was te wijten aan een externe leverancier die klantenservicesoftware levert. Passagiers die recentelijk contact hebben gehad met de klantenservice van KLM, lopen mogelijk het risico dat hun persoonlijke gegevens zijn gelekt. De blootgestelde informatie omvat volledige namen, contactgegevens, Flying Blue-frequent flyer-status en de onderwerpen van e-mailberichten. KLM heeft echter verklaard dat meer gevoelige informatie, zoals creditcardgegevens, paspoortnummers en reisroutes, niet is getroffen. Een woordvoerder van KLM verklaarde dat de IT-teams van het bedrijf, samen met de externe partner, snel hebben gehandeld om het lek te dichten en de beveiligingsmaatregelen te verbeteren.

Naar aanleiding van het lek adviseert KLM klanten om voorzichtig te zijn met ongevraagde e-mails of telefoontjes waarin om persoonlijke gegevens wordt gevraagd of waarin onmiddellijke actie wordt geëist. De luchtvaartmaatschappij heeft een webpagina met geverifieerde e-mailadressen opgezet om passagiers te helpen bij het herkennen van mogelijke phishingpogingen. KLM raadt klanten aan om op hun hoede te zijn voor e-mails zonder persoonlijke aanhef, met grammaticale fouten of die hen naar onbekende websites leiden.

Cyberaanval op het OM laat zien hoe kwetsbaar we zijn

In de serie Cracked by Jordens kijken we naar de cyberveiligheid van consumenten en bedrijven in Nederland.

Lees meer

Beveiligingsmaatregelen

KLM heeft het datalek officieel gemeld bij de Autoriteit Persoonsgegevens, terwijl Air France de CNIL in Frankrijk op de hoogte heeft gesteld. KLM heeft verklaard dat haar operationele systemen niet zijn getroffen en dat er nieuwe beveiligingsprotocollen zijn geïmplementeerd. Dit incident volgt op een reeks cyberaanvallen gericht op de luchtvaartsector, waaronder een recent datalek bij Qantas waarbij in juni 2025 zes miljoen passagiers werden getroffen. De Cyber Division van de FBI had eerder een waarschuwing afgegeven over de hackersgroep ‘Scattered Spider’, die zich via social engineering-tactieken op luchtvaartmaatschappijen richt. KLM heeft geweigerd het aantal getroffen passagiers of het exacte tijdstip van het lek bekend te maken.