Ein Cyberangriff, der die Manchester Airports Group (MAG) betrifft, hat Informationen von etwa 8,7 Millionen Kunden an drei großen britischen Flughäfen offengelegt.
Der Vorfall betrifft Daten, die mit dem Flughafen Manchester, dem London Stansted Airport und dem East Midlands Airport verbunden sind. Anstatt Flüge oder Flughafeninfrastruktur zu stören, erhielten die Angreifer Zugang zu Kundeninformationen, die über verschiedene digitale Dienste, darunter Flughafen-WLAN-Registrierungen, gesammelt wurden.
Auch Informationen zu Parkplätzen, Flughafenlounge und Fast-Track-Buchungen wurden kompromittiert. Die offengelegten Datensätze könnten E-Mail-Adressen, Telefonnummern, Postleitzahlen und Fahrzeugzulassungsnummern enthalten. MAG erklärte, dass die überwiegende Mehrheit der betroffenen Kunden nur ihre E-Mail-Adressen offengelegt hätten. Das Unternehmen betonte, dass das kompromittierte System keine Bank- oder Zahlungsinformationen enthalte.
MAG entdeckte den Sicherheitsvorfall am Dienstag und schränkte daraufhin den Zugang zu betroffenen Systemen ein. Externe Cybersicherheitsspezialisten wurden zur Unterstützung der Untersuchung hinzugezogen, während die zuständigen Behörden benachrichtigt wurden. Das Unternehmen hat nicht offengelegt, wie auf seine Systeme zugegriffen wurde, oder den Angriff einem bestimmten Bedrohungsakteur zugeschrieben.
Der Flughafenbetrieb wurde trotz des Verstoßes fortgesetzt. MAG teilte mit, dass die Luftfahrtsicherheit und die Passagiersicherheit unbeeinträchtigt blieben, während bestehende Kundenbuchungen weiterhin gültig sind. Das Unternehmen hat jedoch vorsichtshalber vorübergehend den Online-Service “Meine Buchungen verwalten” deaktiviert.
Ein bemerkenswerter Aspekt des Vorfalls ist die Einbeziehung von Flughafen-WLAN-Informationen. Das bedeutet, dass die betroffene Bevölkerung nicht zwangsläufig auf Personen beschränkt ist, die Parkplätze, Lounge-Zugang oder Fast-Track-Dienste gekauft haben. Auch Reisende, die sich für die Nutzung von WLAN an den Flughäfen registriert haben, können zu denjenigen gehören, auf die Informationen zugegriffen wurden.
Obwohl die offengelegten Daten keine finanziellen Daten enthalten, könnte die Kombination von Kontaktinformationen mit reisebezogenen Aufzeichnungen nachfolgende Betrügereien überzeugender machen. Jemand mit einer E-Mail-Adresse, Telefonnummer, Fahrzeugzulassung oder Informationen zu einem Flughafendienst könnte potenziell Phishing-Versuche konstruieren, die für die vorherige Aktivität eines Passagiers relevant erscheinen.
Betroffenen Kunden wurde daher geraten, unerwartete Kommunikation vorsichtig zu behandeln. MAG warnte ausdrücklich vor ungefragten E-Mails, Anrufen und Textnachrichten und erklärte, dass man Kunden nicht unerwartet kontaktieren werde und sie um Passwörter, Zahlungskartennummern oder Bankdaten bitten werde.
Der Vorfall wurde auch dem Information Commissioner’s Office des Vereinigten Königreichs gemeldet. Organisationen, die unter britische Datenschutzregeln fallen, sind in der Regel verpflichtet, die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnis eines Datenschutzverstoßes zu benachrichtigen, wenn dies wahrscheinlich ein Risiko für die Rechte und Freiheiten der Einzelpersonen darstellt.