Air France-KLM, het moederbedrijf van KLM, bevestigt dat onbevoegden toegang hebben gehad tot interne mappen van het concern. Dat zei een woordvoerder tegen de Britse zakenkrant City AM, die maandag 12 oktober meldde dat de hackersgroep die vorige week webwinkel Asos hackte, nu ook een datalek bij Air France-KLM claimt. De groep noemt zich Xuanye Group. Volgens Air France-KLM bevatten de mappen "in dit stadium" geen gevoelige gegevens en zijn klanten niet geraakt. Hoeveel bestanden zijn ingezien of meegenomen, is niet bekend. Air France-KLM noemt Xuanye Group niet en zegt ook niet of de ontdekte toegang dezelfde is als waar de groep op doelt.

Wat Air France-KLM bevestigt

Het deel van de verklaring dat City AM publiceerde, is kort. Het concern zegt alle applicaties en gegevens die het voor klanten en medewerkers gebruikt voortdurend te controleren. "Hoewel beschermd met verplichte meerstapsverificatie (MFA), hebben de IT-teams van de groep onlangs onbevoegde toegang ontdekt tot interne mappen, die in dit stadium geen gevoelige gegevens bevatten", aldus de woordvoerder in onze vertaling. Volgens het bedrijf raakt het incident geen klanten, niet de continuïteit van de dienstverlening en niet de koppelingen tussen de systemen van Air France-KLM en die van partners en leveranciers. De IT-afdelingen hebben de getroffen mappen en bestanden volgens de verklaring direct beveiligd en "de bevoegde autoriteiten" ingelicht over deze toegangspogingen.

Welke autoriteiten dat zijn, zegt Air France-KLM niet. Ook wanneer de toegang precies is ontdekt, hoe de indringers binnenkwamen en of KLM, Air France of een ander onderdeel van de groep is getroffen, staat niet in de verklaring. Op de nieuwssite van KLM stond maandag geen bericht over het incident.

Wat de hackers claimen

Volgens City AM verspreidde Xuanye Group vorige week gegevens die volgens de groep van Air France-KLM afkomstig zijn. Op Telegram plaatste de groep een schermafbeelding van een aantal bestanden die volgens City AM lijken toe te behoren aan huidige en voormalige medewerkers van het concern. Tegenover City AM zei de groep dat de bestanden over Air France-KLM gaan.

Het Amerikaanse vakmedium BankInfoSecurity beschreef vermoedelijk dezelfde schermafbeelding al eerder. Volgens dat medium plaatste de groep op donderdag 8 oktober een beeld van wat een Microsoft SharePoint-omgeving zou zijn, met de titel "Digital Commercial Cargo" en mappen met namen als "Sales API", "SalesForce" en "Service API". Op het beeld is volgens BankInfoSecurity ook een download te zien van een bestand van 14,3 gigabyte met de datum 28 september 2026 in de naam, wat er volgens het medium op wijst dat de inbraak minstens tot die datum teruggaat. De groep plaatste het beeld volgens BankInfoSecurity kennelijk om de druk op Asos op te voeren, maar nergens op de schermafbeelding staat Asos. Meerdere namen in de kolommen "gewijzigd door" en "gemaakt door" lijken volgens BankInfoSecurity te horen bij huidige of voormalige medewerkers van Air France-KLM die met het digitale boekingsplatform van de groep te maken hebben.

Om hoeveel gegevens het gaat, heeft de groep voor zover bekend niet gezegd. Volgens City AM deelde de groep gegevens van Air France-KLM in haar Telegram-kanaal, maar wat dat precies is, beschrijft de krant niet. Concreet beschreven is alleen de schermafbeelding. Airwork heeft zelf geen gelekte bestanden of kanalen van de hackers bekeken.

Wie is Xuanye Group?

Xuanye Group dook vorige week voor het eerst op, bij de hack van de Britse kledingwebwinkel Asos. Op dinsdag 6 oktober kregen klanten via de Asos-app een pushbericht met de tekst "Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it", met een link naar een Telegram-kanaal van de groep. Asos bevestigde dat namen en contactgegevens van klanten mogelijk zijn ingezien, maar denkt niet dat betaalgegevens of wachtwoorden zijn geraakt. Later meldde Asos dat de aanvallers zich bij een medewerker hadden voorgedaan als vertrouwd contact en zo inloggegevens hadden gekregen. Snowflake, de clouddienst die in het pushbericht werd genoemd, zei geen inbraak in zijn eigen platform te hebben gevonden.

Over de groep zelf is weinig bekend. Volgens Bloomberg was Xuanye Group niet eerder in verband gebracht met cyberaanvallen of datalekken, en volgens Hackread lijkt de groep nieuw, zonder bekende geschiedenis op grote criminele fora of lekwebsites. Wie erachter zit, is niet bekend.

Niet hetzelfde als het datalek van 2025

Het is niet de eerste keer dat KLM en Air France met een datalek te maken hebben. In augustus 2025 meldden beide maatschappijen dat onbevoegden via een extern platform voor de klantenservice bij klantgegevens waren gekomen. Daarbij ging het volgens KLM mogelijk om naam, contactgegevens, Flying Blue-nummer en het onderwerp van e-mails met de klantenservice; creditcardgegevens en paspoortnummers waren niet buitgemaakt. KLM meldde dat lek bij de Autoriteit Persoonsgegevens, Air France bij de Franse toezichthouder CNIL. BleepingComputer schreef toen dat het incident hoorde bij een reeks aanvallen van de afpersersgroep ShinyHunters op Salesforce-omgevingen van bedrijven; de maatschappijen zelf noemden het platform niet. Hoeveel klanten toen zijn getroffen, heeft KLM niet bekendgemaakt.

Het incident van nu lijkt daar los van te staan. Volgens Air France-KLM gaat het om interne mappen en niet om klantgegevens, en het wordt geclaimd door een andere groep. Dat de map "SalesForce" op de schermafbeelding staat, zegt niets over een verband: het gaat om een mapnaam, en niemand heeft gemeld dat er opnieuw klantgegevens uit Salesforce zijn buitgemaakt.

Wat betekent dit voor reizigers en Flying Blue-leden?

Volgens Air France-KLM zijn klanten niet geraakt, en er is geen bericht dat gegevens van reizigers of Flying Blue-leden zijn gelekt. In het deel van de verklaring dat City AM publiceerde, vraagt Air France-KLM klanten niet om iets te doen. Wel is het verstandig alert te blijven: oplichters haken vaak in op nieuws over datalekken, en wie in 2025 een melding van KLM kreeg, weet dat naam, contactgegevens en Flying Blue-nummer toen mogelijk zijn ingezien.

KLM noemt op zijn eigen site een aantal kenmerken van valse e-mails: geen persoonlijke aanhef, een dringend verzoek om meteen te reageren, slecht taalgebruik en links naar onbekende webadressen. Echte mails over je reis bevatten volgens KLM altijd iets wat je herkent, zoals je boekingscode of je Flying Blue-nummer, en sturen je voor verdere handelingen door naar de website van KLM. Op dezelfde pagina staat een lijst met de e-mailadressen en domeinen die KLM gebruikt, zoals adressen die eindigen op @klm.com, @klm-mail.com en @airfrance-klm.email. Krijg je een mail die je niet vertrouwt, klik dan niet op links, open geen bijlagen en geef geen persoonlijke gegevens. KLM vraagt je de originele e-mail als bijlage door te sturen naar [email protected].

Twijfel je over een bericht over je boeking of je Flying Blue-account, log dan zelf in via de app of door het webadres zelf in te typen, en niet via een link in het bericht. Heb je al gegevens ingevuld of betaald, bel dan meteen je bank en verander je wachtwoord, ook op andere sites waar je hetzelfde wachtwoord gebruikt. Oplichting kun je in Nederland melden bij de Fraudehelpdesk.

Datalekken in de reisbranche stapelen zich deze week op. Eerder vandaag schreven we over het datalek bij TUI, waarbij Belgische reizigers nepberichten krijgen met hun naam, hotel en reisdatum. Daar staat ook uitgebreider hoe je een nepbericht herkent en wat je doet als je al hebt betaald.

Veelgestelde vragen

Zijn mijn gegevens als KLM-klant gelekt?

Daar is geen aanwijzing voor. Air France-KLM zegt dat het incident geen klanten raakt en dat de mappen in dit stadium geen gevoelige gegevens bevatten. Het onderzoek is niet afgerond.

Is dit hetzelfde lek als in 2025?

Nee, voor zover bekend niet. In 2025 ging het om klantgegevens op een extern klantenserviceplatform. Nu gaat het volgens Air France-KLM om interne mappen, en de claim komt van een andere groep.

Heeft Air France-KLM het lek gemeld bij de toezichthouder?

Het concern zegt "de bevoegde autoriteiten" te hebben ingelicht, maar niet welke. Of er een melding ligt bij de Autoriteit Persoonsgegevens of de CNIL, is niet bekendgemaakt.

Ik krijg een verdachte mail van KLM. Wat nu?

Klik niet op links, open geen bijlagen en geef geen gegevens. Controleer het afzenderadres aan de hand van de lijst op de site van KLM en stuur de mail als bijlage door naar [email protected].