Die Manchester Airports Group (MAG), die für den Betrieb der Flughafeninfrastrukturen in Manchester, London Stansted und East Midlands verantwortlich ist, wurde vor Kurzem Opfer eines massiven IT-Angriffs. Obwohl der Flugbetrieb und die Flugsicherheit nicht beeinträchtigt wurden, ermöglichte die Sicherheitslücke einem unbefugten Dritten den Zugriff auf Kundendatenbanken. Die Verletzung betrifft vor allem Informationen, die bei der Nutzung des kostenlosen WLANs in den Terminals sowie über Online-Buchungsdienste, wie Parkplätze oder den Zugang zu VIP-Lounges, erfasst wurden.
Insgesamt sind etwa 8,7 Millionen Reisende von der Offenlegung ihrer persönlichen Daten betroffen. Auch wenn der Betreiber betont, dass keine Bankdaten oder Kreditkartennummern entwendet wurden, bleibt das Spektrum der gestohlenen Informationen besorgniserregend: E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen. Das Ausbleiben eines direkten finanziellen Schadens bedeutet jedoch nicht, dass für die Nutzer keine Gefahr besteht, da diese Elemente eine ideale Grundlage für gezielte Phishing-Kampagnen darstellen.
Die eigentliche Herausforderung liegt in der Präzision der gestohlenen Daten, die es Angreifern ermöglichen, äußerst glaubwürdige Phishing-Szenarien zu entwerfen. Durch die Verknüpfung einer E-Mail-Adresse mit einem Kfz-Kennzeichen oder genauen Aufenthaltsdaten auf einem Parkplatz können Cyberkriminelle die Identität des Flughafens vortäuschen, um fingierte Zahlungen einzufordern oder vermeintliche Parkgebührenbescheide zu versenden. Diese Methode ist heimtückischer als ein spektakulärer technischer Ausfall und garantiert den Betrügern eine langfristig hohe Erfolgsquote.
Dieser Vorfall beleuchtet die Verwundbarkeit der Peripheriesysteme kritischer Infrastrukturen. Während die Flugverkehrskontrollsysteme über einen verstärkten Schutz verfügen, bieten die kommerziellen Zusatzdienste – die häufig über Drittanbieter verwaltet werden – eine wesentlich größere Angriffsfläche. Während sich die Datenschutzbehörden, insbesondere das ICO im Vereinigten Königreich, mit dem Fall befassen, könnten dem Konzern angesichts der massiven Anzahl der von dieser Sicherheitsnachlässigkeit betroffenen Personen empfindliche finanzielle Sanktionen drohen.