Violation chez Manchester Airports Group : 86 Go revendiqués, identifiants API exposés dans le JavaScript côté client

Le 27 août 2026, Manchester Airports Group (MAG) a signalé une violation des données clients des aéroports de Manchester, London Stansted et East Midlands. Deux jours plus tard, le groupe d’extorsion FulcrumSec a revendiqué le vol, déclarant avoir exfiltré environ 86 Go de données, un volume bien plus détaillé que ce qu’indiquait la divulgation initiale. Selon BleepingComputer, l’accès aurait été obtenu en exploitant des identifiants API Iterable exposés dans le code JavaScript exécuté par les navigateurs des visiteurs.

La revendication et la réponse de MAG

MAG a déclaré que la violation concernait 8,7 millions de clients, mais que pour la majorité d’entre eux, seule l’adresse e-mail aurait été exposée. Les services touchés comprennent les réservations de parkings, les accès aux salons, le Fast Track et les enregistrements WiFi aéroportuaires. Selon l’entreprise, aucune donnée de carte de paiement ou bancaire n’a été compromise.

La version de FulcrumSec est très différente. Le groupe a partagé avec BleepingComputer des échantillons de données, dont un export de 21,5 Go concernant les clients de Manchester. Cette archive contiendrait des identifiants personnels, l’historique des réservations et des informations marketing. BleepingComputer a vérifié un enregistrement en le comparant à l’historique d’achats d’un voyageur réel : des correspondances sont apparues sur des réservations Fast Track, des horaires d’arrivée, des informations de terminal et des montants payés.

Interrogée par BleepingComputer, MAG n’a pas commenté directement les affirmations spécifiques de FulcrumSec, renvoyant à sa propre note et indiquant avoir déjà contacté les clients concernés, y compris ceux ayant des réservations à venir. De son côté, BleepingComputer n’a pas pu vérifier de manière indépendante ni le nombre d’enregistrements volés ni l’ampleur complète de l’exfiltration.

Le point faible : des identifiants API dans le JavaScript côté client

Selon FulcrumSec, l’accès aux données a été obtenu via des identifiants API Iterable, spécifiques à chaque aéroport, trouvés dans le code JavaScript côté client du site de MAG. Comme ce code est exécuté dans les navigateurs des utilisateurs, n’importe qui peut l’inspecter avec les outils de développement et potentiellement y voir les identifiants.

Si la revendication est exacte, l’intrusion n’a pas nécessité de techniques sophistiquées. Il ne s’agissait ni d’un exploit zero-day ni d’une attaque par ransomware : il a suffi de lire ce qui était déjà visible de tous. La plateforme Iterable est un service d’automatisation marketing ; ses API permettent d’accéder à des données de contact, des listes et, dans ce cas, à des détails de réservation. Exposer des clés API dans du code envoyé au navigateur est une erreur de conception courante, mais aux conséquences potentiellement graves lorsque les identifiants disposent de privilèges étendus.

Les données volées et la divergence entre MAG et FulcrumSec

Les données initialement déclarées par MAG comprennent des adresses e-mail, des numéros de téléphone, des plaques d’immatriculation et des codes postaux. Selon FulcrumSec, cependant, le matériel volé est beaucoup plus riche : il inclut près de 200 000 enregistrements relatifs à des voyages prévus pour le reste de 2026, avec dates, horaires et détails de réservation liés à des données personnelles identifiantes.

Cette divergence est importante. Si la revendication est exacte, l’exposition ne se limiterait pas aux informations de contact, mais comprendrait l’historique des réservations, les préférences de voyage et les données marketing. Un tel niveau de détail permet de reconstituer les habitudes, les déplacements et les relations commerciales des clients.

FulcrumSec a déclaré vouloir publier les données volées accompagnées d’un rapport technique sur l’intrusion. Le groupe a toutefois ajouté qu’il pourrait masquer les enregistrements des voyages imminents, reconnaissant le risque de préjudice concret pour les personnes.

Pourquoi le risque est concret : codes postaux et phishing ciblé

La granularité des codes postaux britanniques rend cette exposition plus critique qu’un équivalent aux États-Unis. Un code postal complet du Royaume-Uni identifie souvent un petit groupe d’adresses voisines, parfois une seule propriété, comme l’indique l’Office for National Statistics.

En combinant codes postaux, plaques d’immatriculation, dates de stationnement et références de réservation, un attaquant peut construire des messages de phishing très convaincants. Imaginons un e-mail citant un voyage réel imminent, avec date, terminal et montant payé : le destinataire aura du mal à le distinguer d’une communication authentique de MAG. Le sous-ensemble le plus sensible est précisément celui des quelque 200 000 enregistrements de voyages futurs, qui associent des personnes identifiables à des déplacements planifiés.

Une chaîne d’approvisionnement sous pression : Iterable et le précédent Collins Aerospace

Les chercheurs en sécurité cités dans l’article de Security Affairs signalent un possible thème de chaîne d’approvisionnement. Les opérations aéroportuaires dépendent de plus en plus de plateformes tierces pour les réservations, les parkings et les services de fidélisation. Iterable, la plateforme marketing dont les identifiants API auraient été exploités, est exactement ce type de dépendance externe.

Ce n’est pas le premier incident de ce genre dans le secteur aéronautique britannique et européen. En septembre 2025, une attaque par ransomware contre le logiciel d’enregistrement de Collins Aerospace avait déjà bloqué les systèmes de Heathrow, Bruxelles et Berlin. Deux coups significatifs en l’espace de douze mois montrent à quel point l’infrastructure aéroportuaire est exposée non seulement à ses propres erreurs, mais aussi à celles des fournisseurs.

Ce que peuvent faire les clients et les leçons pour les entreprises

MAG affirme être confiante d’avoir pris des mesures efficaces pour protéger les clients et d’avoir contacté toutes les personnes concernées, y compris celles ayant des réservations imminentes. Il est recommandé aux voyageurs ayant récemment réservé des parkings, des accès salons ou un Fast Track de partir du principe que des données de voyage supplémentaires ont pu être exposées et de traiter avec prudence tout message citant des détails réels de réservation.

Pour les entreprises, la leçon est claire : il ne faut jamais exposer d’identifiants API sensibles dans le code JavaScript envoyé au navigateur. Toute clé ou tout jeton qui aboutit côté client est accessible à tous. Mieux vaut utiliser des proxys côté serveur, des jetons à portée limitée et une rotation périodique des identifiants. Dans le cas de MAG, une erreur apparemment banale s’est transformée en violation massive, avec de possibles répercussions sur la sécurité personnelle de millions de voyageurs.