Qantas : 5,7 millions de dossiers volés via un simple appel au support technique

Pas d'exploit, pas de 0-day : le vol massif de données chez Qantas est parti d'un coup de fil au centre d'appel externalisé. Anatomie d'une compromission "vishing" à l'ancienne, et pourquoi ça reste le maillon faible en 2026.

Faits

La compagnie aérienne australienne Qantas a confirmé (via son enquête post-incident et rapportée par The Register le 16 juillet 2026) que la fuite de données affectant 5,7 millions de personnes début 2026 est partie d'un scam de type support technique ciblant un centre d'appel opéré pour son compte.

Les données exposées : PII (Personally Identifiable Information) - noms, e-mails, numéros de téléphone, dates de naissance, statuts programmes de fidélité. Pas de données de paiement ni de mots de passe selon Qantas, ce qui limite (mais n'annule pas) le risque d'usage frauduleux direct.

Point piquant relevé par The Register : Qantas soutient que la fuite n'a pas violé la loi australienne sur la vie privée, la responsabilité juridique reposant sur son prestataire. Interprétation qui satisfera peu les 5,7 millions de personnes concernées.

Analyse

C'est un cas d'école de la campagne active de Scattered Spider / UNC3944 (ou apparentés) qui frappe le secteur aérien et hôtelier depuis 2024. Le mode opératoire est stable :

1. Reconnaissance sociale : identification du prestataire de support externalisé (souvent en Inde ou aux Philippines pour les majors anglophones).
2. Vishing (voice phishing) : appel prétextant un incident interne, un utilisateur en détresse ou un audit qualité - assez d'aplomb pour faire baisser la garde d'un agent.
3. Extraction directe via l'outil support : l'agent, croyant aider un collègue, lance une requête utilisateur et lit / exporte les données.
4. Exfiltration silencieuse : pas d'alerte SIEM, tout est passé par des actions "légitimes" de l'agent.

C'est efficace précisément parce que ça ne casse aucun contrôle technique. Le KPI de rétention client d'un centre d'appel externalisé est incompatible avec le KPI de rigueur d'un contrôle d'identité - les deux se battent, l'attaquant gagne.

À faire maintenant

Si vous êtes RSSI d'une boîte qui externalise du support de premier niveau :

• Cartographier les accès données de chaque agent externe. Ce que l'agent "doit voir" ≠ ce que l'agent "peut voir". Réduire au strict minimum via least-privilege applicatif.
• Callback obligatoire sur toute demande de support "urgente" venant en interne : rappel via annuaire officiel, jamais sur le numéro fourni par l'appelant.
• Journalisation + revue des exports massifs et des accès inhabituels par des agents support (détection anomalie sur volume/heure/utilisateur ciblé).
• Sensibilisation ciblée des agents externes aux scénarios vishing/social engineering, avec exercices trimestriels.
• Clause contractuelle avec le prestataire imposant les mêmes standards MFA/monitoring que pour les internes.

Pour l'utilisateur final Qantas exposé : surveiller les tentatives de phishing personnalisées ("bonjour M. X, votre programme Frequent Flyer indique...") - c'est exactement ce que les 5,7M de dossiers volés vont alimenter dans les mois qui viennent.