Le groupe Manchester Airports Group (MAG), qui assure la gestion des infrastructures aéroportuaires de Manchester, Londres Stansted et East Midlands, a récemment été la cible d'une intrusion informatique majeure. Bien que les opérations aériennes et la sécurité des vols n'aient pas été impactées, cette faille a permis à un tiers non autorisé d'accéder aux bases de données clients. Cette violation concerne principalement les informations recueillies lors de l'utilisation du Wi-Fi gratuit dans les terminaux ainsi que via les services de réservation en ligne, tels que le stationnement ou l'accès aux salons VIP.
Au total, ce sont environ 8,7 millions de voyageurs dont les données personnelles ont été exposées. Si l'opérateur souligne qu'aucune information bancaire ou numéro de carte de paiement n'a été dérobé, l'éventail des données subtilisées reste préoccupant : adresses e-mail, numéros de téléphone, plaques d'immatriculation et codes postaux. L'absence de compromission financière directe ne signifie pas pour autant une absence de danger pour les usagers, ces éléments constituant une base d'informations idéale pour des campagnes d'hameçonnage ciblé.
L'enjeu majeur réside en effet dans la précision des données dérobées, qui permettent à des attaquants de concevoir des scénarios de phishing extrêmement crédibles. En croisant une adresse électronique avec une plaque d'immatriculation ou des dates précises de séjour sur un parking, les cybercriminels peuvent usurper l'identité de l'aéroport pour réclamer de faux paiements ou notifier de prétendues amendes de stationnement. Cette méthode, plus insidieuse qu'une panne technique spectaculaire, garantit aux fraudeurs une efficacité redoutable sur le long terme.
Cet incident met en lumière la vulnérabilité des systèmes périphériques des infrastructures critiques. Si les systèmes de contrôle aérien bénéficient d'une protection renforcée, les services commerciaux annexes — souvent gérés par des solutions tierces — présentent une surface d'attaque beaucoup plus exposée. Alors que les autorités de protection des données, notamment l'ICO au Royaume-Uni, se saisissent du dossier, le groupe pourrait faire face à des sanctions financières significatives au vu du volume massif de personnes concernées par cette négligence sécuritaire.