Un attacco informatico che ha colpito Manchester Airports Group (MAG) ha rivelato informazioni appartenenti a circa 8,7 milioni di clienti in tre importanti aeroporti del Regno Unito.
L’incidente riguarda dati associati all’aeroporto di Manchester, all’aeroporto di Londra Stansted e all’aeroporto delle East Midlands. Invece di interrompere voli o infrastrutture aeroportuali, gli aggressori hanno ottenuto accesso alle informazioni dei clienti raccolte tramite diversi servizi digitali, inclusi i registri WiFi aeroportuali.
Anche le informazioni relative al parcheggio, alle lounge aeroportuali e alle prenotazioni Fast Track sono state compromesse. I registri esposti potrebbero contenere indirizzi email, numeri di telefono, codici postali e numeri di registrazione dei veicoli. MAG ha dichiarato che la stragrande maggioranza dei clienti interessati ha visto esposti solo i propri indirizzi email. L’azienda ha sottolineato che il sistema compromesso non conteneva informazioni bancarie o di pagamento.
MAG ha scoperto l’incidente di sicurezza martedì e successivamente ha limitato l’accesso ai sistemi interessati. Specialisti esterni in cybersecurity sono stati coinvolti per assistere nell’indagine, mentre le autorità competenti sono state notificate. L’azienda non ha rivelato come siano stati acceduti i suoi sistemi né ha attribuito l’attacco a un attore minaccioso specifico.
Le operazioni aeroportuali sono continuate nonostante la violazione. MAG ha dichiarato che la sicurezza dell’aviazione e dei passeggeri non sono state compromesse, mentre le prenotazioni dei clienti esistenti rimangono valide. Tuttavia, l’azienda ha temporaneamente disabilitato il servizio online Manage My Bookings come precauzione.
Un aspetto notevole dell’incidente è l’inclusione delle informazioni WiFi aeroportuali. Ciò significa che la popolazione interessata non è necessariamente limitata a chi ha acquistato parcheggi, accesso alle lounge o servizi Fast Track. I viaggiatori che si sono registrati per usare il WiFi negli aeroporti possono anche essere tra coloro le cui informazioni sono state consultate.
Sebbene i dati esposti non includano dettagli finanziari, combinare le informazioni di contatto con i documenti di viaggio potrebbe rendere le truffe successive più convincenti. Qualcuno che possiede un indirizzo email, un numero di telefono, una registrazione del veicolo o informazioni associate a un servizio aeroportuale potrebbe potenzialmente costruire tentativi di phishing che sembrano rilevanti per le attività precedenti di un passeggero.
I clienti interessati sono quindi stati consigliati di trattare con cautela le comunicazioni impreviste. MAG ha specificamente avvertito di email, chiamate e messaggi di testo non richiesti e ha detto che non contatterà inaspettatamente i clienti chiedendo loro di fornire password, numeri di carta di pagamento o informazioni bancarie.
L’incidente è stato inoltre segnalato all’Information Commissioner’s Office del Regno Unito. Le organizzazioni soggette alle regole britanniche sulla protezione dei dati sono generalmente tenute a notificare all’ente regolatore entro 72 ore dopo aver preso conoscenza di una violazione dei dati personali quando è probabile che rappresenti un rischio per i diritti e le libertà degli individui.