Un ciberataque que afecta al Manchester Airports Group (MAG) ha expuesto información perteneciente a aproximadamente 8,7 millones de clientes en tres grandes aeropuertos del Reino Unido.
El incidente involucra datos asociados con el aeropuerto de Manchester, el aeropuerto de Stansted de Londres y el aeropuerto de East Midlands. En lugar de interrumpir vuelos o infraestructuras aeroportuarias, los atacantes accedieron a la información de los clientes recopilada a través de varios servicios digitales, incluidos los registros WiFi del aeropuerto.
También se vio comprometida información relacionada con el aparcamiento, las salas VIP del aeropuerto y las reservas Fast Track. Los registros expuestos pueden contener direcciones de correo electrónico, números de teléfono, códigos postales y números de matrícula de vehículos. MAG indicó que la gran mayoría de los clientes afectados solo tenían expuestas sus direcciones de correo electrónico. La empresa recalcó que el sistema comprometido no contenía información bancaria ni de pagos.
MAG descubrió el incidente de seguridad el martes y posteriormente restringió el acceso a los sistemas afectados. Se incorporó a especialistas externos en ciberseguridad para ayudar en la investigación, mientras que se notificó a las autoridades pertinentes. La empresa no ha revelado cómo se accedió a sus sistemas ni ha atribuido el ataque a un actor amenazante concreto.
Las operaciones aeroportuarias han continuado a pesar de la infracción. MAG indicó que la seguridad aérea y la seguridad de los pasajeros no se vieron afectadas, mientras que las reservas existentes de clientes siguen siendo válidas. Sin embargo, la empresa desactivó temporalmente su servicio online Gestionar mis reservas como medida de precaución.
Un aspecto destacado del incidente es la inclusión de información sobre WiFi en aeropuertos. Esto significa que la población afectada no está necesariamente limitada a personas que compraron aparcamiento, acceso a salas VIP o servicios Fast Track. Los viajeros que se registraron para usar WiFi en los aeropuertos también pueden estar entre aquellos cuya información fue accedida.
Aunque los datos expuestos no incluyen detalles financieros, combinar información de contacto con registros relacionados con viajes podría hacer que las estafas posteriores resulten más convincentes. Alguien que posea una dirección de correo electrónico, número de teléfono, registro del vehículo o información asociada a un servicio aeroportuario podría potencialmente intentar intentos de phishing que parezcan relevantes para la actividad previa del pasajero.
Por ello, se ha aconsejado a los clientes afectados que traten con cuidado las comunicaciones inesperadas. MAG advirtió específicamente sobre correos electrónicos, llamadas y mensajes de texto no solicitados y dijo que no contactaría inesperadamente a los clientes pidiéndoles contraseñas, números de tarjeta de pago o información bancaria.
El incidente también ha sido denunciado a la Oficina del Comisionado de Información del Reino Unido. Las organizaciones protegidas por las normas británicas de protección de datos suelen estar obligadas a notificar al regulador en un plazo de 72 horas tras tomar conocimiento de una brecha de datos personales cuando sea probable que suponga un riesgo para los derechos y libertades de las personas.