El grupo Manchester Airports Group (MAG), que gestiona las infraestructuras aeroportuarias de Manchester, Londres Stansted y East Midlands, ha sido recientemente objeto de una importante intrusión informática. Aunque las operaciones aéreas y la seguridad de los vuelos no se han visto afectadas, esta brecha permitió que un tercero no autorizado accediera a las bases de datos de clientes. La violación afecta principalmente a la información recopilada durante el uso del Wi-Fi gratuito en las terminales, así como a través de los servicios de reserva en línea, como el aparcamiento o el acceso a salas VIP.
En total, cerca de 8,7 millones de viajeros han visto expuestos sus datos personales. Si bien el operador subraya que no se han sustraído datos bancarios ni números de tarjetas de pago, el alcance de la información robada sigue siendo preocupante: direcciones de correo electrónico, números de teléfono, matrículas y códigos postales. La ausencia de un perjuicio financiero directo no implica que los usuarios estén exentos de peligro, ya que estos datos constituyen una base ideal para lanzar campañas de phishing dirigido.
El mayor riesgo reside, efectivamente, en la precisión de los datos robados, lo que permite a los atacantes diseñar escenarios de phishing extremadamente creíbles. Al cruzar una dirección de correo electrónico con una matrícula o fechas específicas de estancia en un aparcamiento, los ciberdelincuentes pueden suplantar la identidad del aeropuerto para reclamar pagos falsos o notificar supuestas multas de aparcamiento. Este método, más insidioso que un fallo técnico espectacular, garantiza a los defraudadores una eficacia formidable a largo plazo.
Este incidente pone de manifiesto la vulnerabilidad de los sistemas periféricos de las infraestructuras críticas. Mientras que los sistemas de control aéreo disfrutan de una protección reforzada, los servicios comerciales auxiliares —a menudo gestionados por soluciones de terceros— presentan una superficie de ataque mucho más expuesta. A medida que las autoridades de protección de datos, en particular la ICO en el Reino Unido, comienzan a investigar el caso, el grupo podría enfrentarse a sanciones económicas significativas dado el volumen masivo de personas afectadas por esta negligencia en materia de seguridad.