Vos données étaient-elles chez Iberia ? Une cyberattaque les a potentiellement exposées

Alors que la sécurité des données clients devrait être une priorité absolue, la compagnie aérienne Iberia se retrouve au cœur d’un scandale embarrassant. En cause : une cyberattaque via un prestataire externe qui expose une partie des données personnelles de sa clientèle. Encore une fois, ce sont les passagers qui en paient le prix, et les promesses de protection des données s’effondrent dès que l’on gratte le vernis.

Les angles morts d’une industrie aérienne ultra-dépendante

Selon un article publié ce 30 novembre par Air Journal, Iberia a confirmé avoir été victime d’un piratage. L’attaque n’a pas visé ses propres systèmes, mais ceux d’un prestataire externe chargé de traiter certaines données de fidélité. Résultat : noms, adresses e-mail et numéros de programmes de fidélité ont potentiellement été exposés. Ce scénario n’est pas nouveau, mais il souligne une faille persistante dans l’architecture numérique du transport aérien : la dépendance chronique à des prestataires tiers, rarement aussi bien protégés que les maisons mères.

À mesure que les compagnies externalisent leurs services — pour des raisons de coût, d’agilité ou de performance —, elles diluent leur contrôle sur la chaîne de sécurité. Pourtant, ces sous-traitants manipulent des informations sensibles : identifiants, historiques de voyage, préférences de vol. Ce n’est pas un simple oubli technique, mais une faille structurelle dans la gestion des risques. Iberia n’est que le dernier nom d’une longue liste d’entreprises qui découvrent que la protection des données ne s’achète pas à coups de communiqués rassurants.

Iberia victime d’une cyber attaque
Un accès non autorisé a compromis les données clients d’#Iberia. La compagnie aérienne a activé l’authentification à deux facteurs et a alerté la Garde civile. La compagnie aérienne confirme qu’aucun mot de passe ni donnée bancaire compromis… pic.twitter.com/YTvCQMntpf

— Gate7 (@Gate7aviation) November 23, 2025

Une gestion de crise sans cap

Ce qui choque dans cette affaire, c’est aussi le manque de transparence. Iberia a reconnu l’incident, certes, mais avec une sobriété presque suspecte. Aucune information précise sur l’ampleur réelle de la fuite. Aucune indication sur le nombre de clients concernés. Aucune garantie technique offerte à ceux dont les données ont été compromises. La compagnie s’abrite derrière une formule vague : “certaines données ont été potentiellement exposées”. En d’autres termes, on ne sait pas qui est touché, mais tant pis.

Le silence est d’autant plus troublant que les attaques de ce type sont en forte hausse dans le secteur aérien, devenu une cible privilégiée pour les cybercriminels. Le passif des compagnies est lourd, et Iberia vient l’alourdir un peu plus. En refusant de détailler les mesures prises, l’entreprise envoie un message clair : la protection des données n’est toujours pas une priorité opérationnelle. Or, il ne s’agit pas de données techniques ou anodines. Il s’agit de liens directs avec les comptes clients, qui peuvent ouvrir la voie à des campagnes de phishing, d’usurpation ou de fraude.

Pendant ce temps, les clients, eux, doivent faire confiance à l’aveugle. On leur demande de rester calmes, de continuer à voler, de continuer à enregistrer leurs données. Sans explication, sans outil de vérification, sans compensation. C’est une gestion de crise à minima, pensée pour éviter les vagues, pas pour réparer les dégâts.