Cathay Pacific Airways har fått böter på 500 000 pund (cirka 640 000 dollar) av Storbritanniens informationskommissionär (ICO) för att inte skydda kundernas personuppgifter.
Som BBC rapporterar utsattes 111 578 personer i Storbritannien och cirka 9,4 miljoner fler över hela världen för sina uppgifter mellan oktober 2014 och maj 2018.
Uppgifterna inkluderar kundernas namn, passuppgifter, födelsedatum, telefonnummer, adresser och reshistorik.
.
Eftersom överträdelsen inträffade innan GDPR (General Data Protection Regulation) trädde i kraft, undvek flygbolaget att bli böter upp till 470 miljoner pund - fyra procent av sin årliga globala omsättning.
Istället har det bötfällts maximalt som ICO kan ta ut enligt Storbritanniens dataskyddslag från 1998.
Flygbolaget sa att det blev medvetet om problemet när det drabbades av en brute force-attack 2018.
Efter att ha rapporterat attacken till ICO fann man att flygbolaget i Hong Kong inte hade lösenordsskyddat sina backupfiler, hade internet- inför servrar som inte uppdaterats, operativsystem som inte längre stöds av utvecklarna och dåligt antivirusskydd.
En attack på en server innebar en sårbarhet som var känd i över ett decennium, men ändå hade inte fixen tillämpats av flygbolaget.
I ett uttalande till BBC sa Steve Eckersley, ICO: s utredningschef, att det fanns "ett antal grundläggande säkerhetsbrister över Cathay Pacifics system, vilket gav enkel åtkomst till hackarna."
Rekommenderas av våra redaktörer
Det är inte första gången som ett flygbolag utsätts för stora böter på grund av oförmåga att tillräckligt skydda sina kunders uppgifter.
I juli 2019 fick British Airways böter på 229 miljoner dollar för ett dataintrång föregående år som gjorde det möjligt för hackare att få tillgång till namnen, e-postadresserna och kreditkortsnumren på 500 000 kunder.
