Ataque cibernético expõe dados de 8,7 milhões de clientes em três aeroportos britânicos
O Manchester Airports Group confirmou que atacantes externos exfiltraram dados de 8,7 milhões de passageiros dos aeroportos de Manchester, Stansted e East Midlands. A empresa recusou o pagamento do resgate exigido pelos invasores.
Confirmação e contenção
O Manchester Airports Group (MAG) confirmou em 27 de agosto de 2026 que atacantes externos não autorizados exfiltraram dados de 8,7 milhões de clientes distribuídos entre os aeroportos de Manchester, Stansted e East Midlands. O grupo detectou a intrusão no mesmo dia e disse ter contido o acesso antes que os invasores pudessem avançar além dos sistemas de CRM e agendamento de serviços comerciais.
Os dados comprometidos incluem endereços de e-mail, números de telefone, matrículas de veículos e códigos postais. O MAG confirmou que nenhuma informação bancária ou de cartão de pagamento foi acessada. As informações pertenciam a passageiros que utilizaram serviços de estacionamento, lounges, Fast Track ou redes Wi-Fi dos três aeroportos.
Resgate exigido e recusado
Após a exfiltração, os atacantes demandaram pagamento em troca da devolução dos dados. O MAG recusou. "Contivemos o risco rapidamente e impedimos que os invasores tivessem acesso adicional", disse um porta-voz da empresa, segundo o BBC. A identidade do grupo responsável é conhecida pelas autoridades britânicas, conforme informou o MAG, mas não foi divulgada publicamente. Nenhuma organização criminosa havia reivindicado a autoria do ataque até o fechamento desta matéria.
O Information Commissioner's Office (ICO) e demais autoridades competentes foram notificados, segundo o MAG. A empresa afirmou que a segurança operacional dos voos não foi comprometida em nenhum momento.
O vetor ignorado: sistemas de serviços ao passageiro
O MAG opera três dos aeroportos mais movimentados do Reino Unido por volume de passageiros. Manchester Airport processou 31 milhões de passageiros em 2024; Stansted e East Midlands somam outros 28 milhões. A brecha não ocorreu em sistemas de controle de voo ou segurança de aviação, mas nas camadas de CRM e plataformas de reserva de serviços comerciais, segmentos frequentemente auditados com menos rigor do que a infraestrutura operacional crítica.
A combinação de dados expostos (e-mail, telefone, matrícula e código postal) não envolve credenciais financeiras, mas é suficiente para construir perfis de identidade detalhados e montar campanhas de phishing e smishing personalizadas. Pesquisadores de segurança apontam que esse tipo de dado tem valor elevado em mercados subterrâneos precisamente porque o uso indevido não gera alertas de fraude financeira imediata, dificultando a detecção pelas vítimas.
Impacto regulatório: do Reino Unido à Europa continental
No Reino Unido, o ICO pode abrir investigação sob o UK GDPR e aplicar multas de até £17,5 milhões ou 4% do faturamento global anual, o que for maior. O prazo regulatório para notificação de brechas com risco a indivíduos é de 72 horas a partir da descoberta. O MAG não havia confirmado até o fechamento desta matéria se a notificação ao ICO foi realizada dentro desse prazo.
Na Europa continental, o incidente ressoa diretamente para operadores aeroportuários sujeitos à Diretiva NIS2, em vigor para entidades essenciais de transporte desde outubro de 2024. As regras exigem notificação inicial de incidentes significativos em até 24 horas para autoridades nacionais competentes, com relatório detalhado em 72 horas. Operadores como a Fraport (Aeroporto de Frankfurt), o Groupe ADP (aeroportos de Paris) e a Schiphol Group (Holanda) operam sob esse mesmo marco e enfrentam escrutínio crescente sobre a adequação dos sistemas periféricos de CRM e reservas de serviços ao passageiro às obrigações do NIS2.
A diferença entre os dois regimes é relevante para CISOs de consultorias com clientes em infraestrutura de transporte: o UK GDPR pós-Brexit e o NIS2 da União Europeia, apesar de raízes comuns, divergem nos prazos, limiares de notificação e organismos de supervisão. Empresas que operam em ambos os mercados precisam manter trilhas distintas de resposta a incidentes.
O que ainda não se sabe
O vetor inicial de comprometimento não foi divulgado pelo MAG. A empresa também não confirmou o volume total de dados transferidos para fora de seus sistemas. A ausência de reivindicação pública pelos atacantes impede avaliar se os dados serão comercializados ou mantidos como alavanca de negociação futura. O MAG não havia anunciado medidas de reparação ou monitoramento de identidade para os 8,7 milhões de clientes afetados até o fechamento desta matéria.