Violazione a Manchester Airports Group: rivendicati 86 GB, credenziali API esposte nel client JavaScript

Il 27 agosto 2026 Manchester Airports Group (MAG) ha comunicato una violazione dei dati dei clienti degli aeroporti di Manchester, London Stansted ed East Midlands. Due giorni dopo, il gruppo estorsivo FulcrumSec ne ha rivendicato il furto, dichiarando di aver sottratto circa 86 GB di dati, un volume molto più dettagliato di quanto indicato nella divulgazione iniziale. Secondo BleepingComputer, l'accesso sarebbe avvenuto sfruttando credenziali API di Iterable esposte nel codice JavaScript eseguito dai browser dei visitatori.

La rivendicazione e la risposta di MAG

MAG ha dichiarato che la violazione ha coinvolto 8,7 milioni di clienti, ma per la maggior parte di essi risulterebbe esposto solo l'indirizzo email. I servizi interessati comprendono prenotazioni di parcheggi, accessi lounge, Fast Track e registrazioni WiFi aeroportuali. Secondo la società, nessun dato di carte di pagamento o bancario è stato compromesso.

La versione di FulcrumSec è molto diversa. Il gruppo ha condiviso con BleepingComputer campioni di dati, tra cui un export da 21,5 GB relativo ai clienti di Manchester. Questo archivio conterrebbe identificatori personali, storico delle prenotazioni e informazioni di marketing. BleepingComputer ha verificato un record confrontandolo con la cronologia acquisti di un viaggiatore reale: sono emerse corrispondenze su prenotazioni Fast Track, orari di arrivo, informazioni sul terminal e importi pagati.

MAG, interpellata da BleepingComputer, non ha commentato direttamente le affermazioni specifiche di FulcrumSec, rimandando alla propria nota e affermando di aver già contattato i clienti interessati, inclusi quelli con prenotazioni future. BleepingComputer, dal canto suo, non ha potuto verificare in modo indipendente né il numero di record rubati né la portata completa dell'esfiltrazione.

Il punto debole: credenziali API nel JavaScript lato client

Secondo FulcrumSec, l'accesso ai dati è avvenuto tramite credenziali API di Iterable, specifiche per singolo aeroporto, trovate nel codice JavaScript lato client del sito di MAG. Poiché questo codice viene eseguito nei browser degli utenti, chiunque può ispezionarlo con gli strumenti di sviluppo e potenzialmente visualizzare le credenziali.

Se la rivendicazione è accurata, l'intrusione non ha richiesto tecniche sofisticate. Non si è trattato di un exploit zero-day né di un attacco ransomware: è bastato leggere ciò che era già visibile a tutti. La piattaforma Iterable è un servizio di marketing automation; le sue API consentono di accedere a dati di contatto, liste e, in questo caso, dettagli di prenotazione. Esporre chiavi API nel codice inviato al browser è un errore di progettazione comune, ma con conseguenze potenzialmente gravi quando le credenziali hanno privilegi ampi.

I dati rubati e la divergenza tra MAG e FulcrumSec

I dati inizialmente dichiarati da MAG comprendono indirizzi email, numeri di telefono, targhe dei veicoli e codici postali. Secondo FulcrumSec, però, il materiale rubato è molto più ricco: include quasi 200.000 record relativi a viaggi in programma per il resto del 2026, con date, orari e dettagli di prenotazione collegati a dati personali identificativi.

Questa divergenza è rilevante. Se la rivendicazione fosse accurata, l'esposizione non si limiterebbe a informazioni di contatto, ma comprenderebbe cronologia di prenotazione, preferenze di viaggio e dati di marketing. Un simile livello di dettaglio consente di ricostruire abitudini, spostamenti e relazioni commerciali dei clienti.

FulcrumSec ha dichiarato di voler pubblicare i dati rubati insieme a un resoconto tecnico dell'intrusione. Tuttavia ha aggiunto che potrebbe oscurare i record dei viaggi imminenti, riconoscendo il rischio di danni concreti alle persone.

Perché il rischio è concreto: codici postali e phishing mirato

La granularità dei codici postali britannici rende questa esposizione più critica di un equivalente negli Stati Uniti. Un codice postale completo del Regno Unito identifica spesso un piccolo gruppo di indirizzi vicini, talvolta una singola proprietà, come indicato dall'Office for National Statistics.

Combinando codici postali, targhe dei veicoli, date di parcheggio e riferimenti di prenotazione, un attaccante può costruire messaggi di phishing molto convincenti. Immaginiamo una email che cita un viaggio reale imminente, con data, terminal e importo pagato: il destinatario difficilmente la distinguerà da una comunicazione autentica di MAG. Il sottoinsieme più sensibile è proprio quello dei quasi 200.000 record di viaggi futuri, che associano persone identificabili a spostamenti pianificati.

Una catena di fornitura sotto pressione: Iterable e il precedente Collins Aerospace

I ricercatori di sicurezza citati nell'articolo di Security Affairs segnalano un possibile tema di catena di fornitura. Le operazioni aeroportuali dipendono sempre più da piattaforme di terze parti per prenotazioni, parcheggi e servizi di fidelizzazione. Iterable, la piattaforma di marketing le cui credenziali API sarebbero state sfruttate, è esattamente questo tipo di dipendenza esterna.

Non è il primo incidente del genere nel settore aeronautico britannico ed europeo. A settembre 2025 un attacco ransomware al software di check-in di Collins Aerospace aveva già bloccato i sistemi di Heathrow, Bruxelles e Berlino. Due colpi significativi nell'arco di dodici mesi mostrano come l'infrastruttura aeroportuale sia esposta non solo ai propri errori, ma anche a quelli dei fornitori.

Cosa possono fare i clienti e le lezioni per le aziende

MAG afferma di essere fiduciosa di aver adottato misure efficaci per proteggere i clienti e di aver contattato tutti gli interessati, inclusi quelli con prenotazioni imminenti. Ai viaggiatori che hanno prenotato di recente parcheggi, accessi lounge o Fast Track viene raccomandato di presumere che ulteriori dati di viaggio possano essere stati esposti e di trattare con cautela qualsiasi messaggio che citi dettagli reali di prenotazione.

Per le aziende, la lezione è chiara: non bisogna mai esporre credenziali API sensibili nel codice JavaScript inviato al browser. Qualsiasi chiave o token che finisce nel client è accessibile a chiunque. Meglio usare proxy lato server, token con scope limitato e rotazione periodica delle credenziali. Nel caso di MAG, un errore apparentemente banale si è trasformato in una violazione di massa con potenziali ripercussioni sulla sicurezza personale di milioni di viaggiatori.