Manchester Airports Group, największy operator lotnisk w Wielkiej Brytanii, przyznał 27 sierpnia 2026 roku, że nieuprawniona osoba trzecia wykradła dane jego klientów. Chodzi o pasażerów lotnisk w Manchesterze, London Stansted i East Midlands — według rzecznika firmy incydent dotknął około 8,7 miliona osób, co czyni go największym znanym wyciekiem danych klientów brytyjskiego operatora lotniskowego. Trzy dni później do ataku przyznała się grupa wymuszeniowa FulcrumSec, deklarując, że wyniosła około 86 GB danych.
Nie było żadnego włamania
Najciekawszy jest sposób, w jaki napastnicy weszli w posiadanie danych. FulcrumSec twierdzi, że nie musiał łamać żadnych zabezpieczeń — wystarczyły klucze API do platformy marketingowej Iterable, które lotniska zostawiły w kodzie JavaScript ładowanym po stronie przeglądarki. Taki kod jest publiczny z definicji. Każdy, kto otworzy narzędzia deweloperskie w przeglądarce, widzi go w całości.
To błąd znany od lat i wciąż jeden z najczęstszych. Programista integruje zewnętrzną usługę, wkleja klucz do skryptu frontendowego, testy przechodzą, funkcja działa, sprawa wydaje się zamknięta. Problem w tym, że klucz z uprawnieniami do odczytu całej bazy kontaktów nie powinien nigdy opuścić serwera. Automatyczne skanery przeczesujące kod stron internetowych w poszukiwaniu wzorców przypominających tokeny znajdują takie znaleziska w ciągu godzin.
Co dokładnie wyciekło
MAG oficjalnie wymienił adresy e-mail, numery telefonów, numery rejestracyjne pojazdów i kody pocztowe, zaznaczając, że w przypadku zdecydowanej większości osób chodziło wyłącznie o adres e-mail. Próbki, które FulcrumSec przekazał redakcji BleepingComputer, sugerują zakres wyraźnie szerszy: numery rezerwacji, wybrane lotniska i usługi, ceny, rabaty, status rezerwacji, daty i godziny parkowania, historię wydatków, adresy IP, przybliżoną lokalizację oraz informacje o urządzeniu. Dziennikarze zweryfikowali jeden rekord, porównując go z rzeczywistą historią zakupów pasażera — dane się zgadzały. Nie znaleziono natomiast danych kart płatniczych ani rachunków bankowych.
Osobno niepokojące jest twierdzenie grupy o niemal 200 tysiącach rekordów dotyczących podróży zaplanowanych na resztę 2026 roku. FulcrumSec deklaruje, że rozważa wstrzymanie publikacji tej części zbioru ze względu na ryzyko realnej szkody. Trudno to traktować jako gwarancję czegokolwiek — mówimy o grupie, która od 2025 roku zarabia na szantażowaniu firm publikacją skradzionych danych i ma na koncie między innymi LexisNexis, Novo Nordisk i Avnet.
Dlaczego to groźne dla pasażerów
Sam adres e-mail wygląda niegroźnie. Adres e-mail w komplecie z numerem rejestracyjnym auta, terminem parkowania i kwotą ostatniej płatności to już zupełnie inna kategoria zagrożenia. Napastnik dysponujący takim zestawem może napisać wiadomość, która brzmi jak autentyczna korespondencja z lotniska: właściwy terminal, prawdziwa data wylotu, prawidłowa tablica rejestracyjna. Klasyczne rady w rodzaju „uważaj na maile, które nie zawierają twoich danych” przestają tu działać.
Praktyczna zasada jest prosta: żaden operator lotniska ani serwis rezerwacyjny nie kontaktuje się nieoczekiwanie w sprawie dopłaty, potwierdzenia karty czy hasła. Jeżeli taka wiadomość przychodzi, trzeba wejść na stronę operatora samodzielnie, wpisując adres z pamięci, a nie klikając w link. Warto też włączyć uwierzytelnianie dwuskładnikowe wszędzie, gdzie wyciekły adres e-mail mógł być używany jako login, i sprawdzić swój adres w serwisie Have I Been Pwned.
Podsumowanie
Ten incydent nie wymagał exploita, zero-daya ani wyrafinowanej socjotechniki. Wystarczyło, że ktoś umieścił poświadczenia w miejscu widocznym dla całego internetu i nikt tego nie wychwycił. Dla firm to przypomnienie, żeby przeskanować własny kod frontendowy pod kątem tokenów i rotować wszystko, co kiedykolwiek trafiło do repozytorium publicznego. Dla podróżnych — sygnał, że przez najbliższe miesiące warto traktować „wiadomości z lotniska” z podwyższoną nieufnością, nawet jeśli znają numer naszej rejestracji.