„De hacker drong in september 2019 binnen in de systemen van Transavia, door twee accounts van de IT-afdeling van het bedrijf te gebruiken”, aldus de autoriteit vrijdag. Eind november van dat jaar werd het datalek door de maatschappij gedicht. „De beveiliging was op drie punten niet op orde. De toegang van de twee accounts was niet beperkt tot alleen de noodzakelijke systemen, het wachtwoord was gemakkelijk te raden en er was geen zogeheten meerfactorauthenticatie. Daarbij moet een persoon of systeem op minimaal twee verschillende manieren inloggen om toegang te krijgen.”

„Je moet er wel vanuit kunnen gaan dat een luchtvaartmaatschappij erg voorzichtig met jouw data omgaat en die uitermate goed beveiligt”, zegt AP-bestuurslid Katja Mur. „Dat bleek bij Transavia niet het geval.” De persoonsgegevens zijn „ook heel handig voor oplichters, die ze kunnen gebruiken voor identiteitsdiefstal. Of om jou geld afhandig te maken via bijvoorbeeld WhatsApp-fraude.”