Cyberangriff offenbart Daten von 8,7 Millionen Kunden an drei britischen Flughäfen
Die Manchester Airports Group bestätigte, dass externe Angreifer Daten von 8,7 Millionen Passagieren der Flughäfen Manchester, Stansted und East Midlands exfiltriert haben. Das Unternehmen lehnte die Zahlung des Lösegelds ab, das von den Angreifern gefordert wurde.
Bestätigung und Eindämmung
Die Manchester Airports Group (MAG) bestätigte am 27. August 2026, dass unbefugte externe Angreifer Daten von 8,7 Millionen Kunden, verteilt auf die Flughäfen Manchester, Stansted und East Midlands, exfiltriert haben. Die Gruppe bemerkte die Eindringung am selben Tag und gab an, den Zugriff eingedämmt zu haben, bevor die Angreifer über die CRM-Systeme und die Buchungsplattformen für kommerzielle Dienstleistungen hinaus vorstoßen konnten.
Die kompromittierten Daten umfassen E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen. Die MAG bestätigte, dass keine Bankdaten oder Zahlungskarteninformationen abgerufen wurden. Die Informationen gehörten zu Passagieren, die Parkdienste, Lounges, Fast Track oder WLAN-Netze der drei Flughäfen genutzt hatten.
Gefordertes und abgelehntes Lösegeld
Nach der Exfiltration forderten die Angreifer eine Zahlung im Austausch für die Rückgabe der Daten. Die MAG lehnte ab. "Wir haben das Risiko schnell eingedämmt und verhindert, dass die Angreifer zusätzlichen Zugriff erhalten", sagte ein Unternehmenssprecher laut BBC. Die Identität der verantwortlichen Gruppe ist den britischen Behörden bekannt, wie die MAG berichtete, wurde jedoch nicht öffentlich bekannt gegeben. Bis zum Zeitpunkt der Erstellung dieses Artikels hatte keine kriminelle Organisation die Verantwortung für den Angriff beansprucht.
Das Information Commissioner's Office (ICO) und andere zuständige Behörden wurden informiert, wie die MAG erklärte. Das Unternehmen betonte, dass die operationale Sicherheit der Flüge zu keinem Zeitpunkt gefährdet war.
Der ignorierte Vektor: Systeme für Passagierservices
Die MAG betreibt drei der verkehrsreichsten Flughäfen im Vereinigten Königreich nach Passagieraufkommen. Der Flughafen Manchester verarbeitete 31 Millionen Passagiere im Jahr 2024; Stansted und East Midlands kommen auf weitere 28 Millionen. Die Sicherheitslücke trat nicht in den Kontrollsystemen für den Flugverkehr oder der Luftsicherheit auf, sondern in den CRM-Schichten und Buchungsplattformen für kommerzielle Dienstleistungen, die häufig weniger streng geprüft werden als die kritische betriebliche Infrastruktur.
Die Kombination der offengelegten Daten (E-Mail, Telefon, Kennzeichen und Postleitzahl) umfasst keine finanziellen Zugangsdaten, ist jedoch ausreichend, um detaillierte Identitätsprofile zu erstellen und maßgeschneiderte Phishing- und Smishing-Kampagnen zu entwerfen. Sicherheitsforscher weisen darauf hin, dass diese Art von Daten auf dem Schwarzmarkt hoch geschätzt wird, da der Missbrauch keine sofortigen Betrugswarnungen generiert, was die Erkennung durch die Opfer erschwert.
Regulierungsauswirkungen: Vom Vereinigten Königreich zum Festland Europas
Im Vereinigten Königreich kann das ICO eine Untersuchung unter dem UK GDPR einleiten und Bußgelder von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Die regulatorische Frist für die Meldung von Schwachstellen, die ein Risiko für Einzelpersonen darstellen, beträgt 72 Stunden ab Entdeckung. Bis zum Zeitpunkt der Erstellung dieses Artikels hatte die MAG nicht bestätigt, ob die Meldung an das ICO innerhalb dieser Frist erfolgt war.
Auf dem europäischen Festland hat der Vorfall direkte Auswirkungen auf Flughafentransportbetreiber, die der NIS2-Richtlinie unterliegen, die seit Oktober 2024 für essentielle Transporteinrichtungen in Kraft ist. Die Regeln erfordern die anfängliche Meldung bedeutender Vorfälle innerhalb von 24 Stunden an die zuständigen nationalen Behörden, mit einem detaillierten Bericht innerhalb von 72 Stunden. Betreiber wie die Fraport (Flughafen Frankfurt), die Groupe ADP (Flughäfen von Paris) und die Schiphol Group (Niederlande) arbeiten unter diesem gleichen Rahmen und sehen sich zunehmendem Druck hinsichtlich der Angemessenheit ihrer CRM-Systeme und der Buchung von Passagierservices in Bezug auf die Verpflichtungen des NIS2 ausgesetzt.
Der Unterschied zwischen den beiden Regimes ist für CISOs von Beratungsunternehmen mit Kunden in der Transportinfrastruktur von Bedeutung: Das UK GDPR nach dem Brexit und das NIS2 der Europäischen Union divergieren, obwohl sie gemeinsame Wurzeln haben, in Fristen, Meldeschwellen und Aufsichtsbehörden. Unternehmen, die auf beiden Märkten tätig sind, müssen getrennte Incident-Response-Prozesse aufrechterhalten.
Was noch nicht bekannt ist
Der ursprüngliche Vektor der Kompromittierung wurde von der MAG nicht veröffentlicht. Das Unternehmen hat auch das Gesamtausmaß der aus seinen Systemen transferierten Daten nicht bestätigt. Das Fehlen einer öffentlichen Erklärung durch die Angreifer erschwert die Einschätzung, ob die Daten verkauft oder als Hebel für zukünftige Verhandlungen genutzt werden. Bis zum Zeitpunkt der Erstellung dieses Artikels hatte die MAG keine Maßnahmen zur Wiederherstellung oder Identitätsüberwachung für die 8,7 Millionen betroffenen Kunden bekannt gegeben.