Violation chez Manchester Airports Group exposant 8,7 millions de clients

Le 27 août 2026, Manchester Airports Group (MAG) — l'exploitant britannique des aéroports de Manchester, de Londres Stansted et d'East Midlands — a révélé qu'un tiers non autorisé avait obtenu des données clients détenues par les systèmes prenant en charge ses services de parking, de salons, de Fast Track et de Wi-Fi. Les rapports citant l'entreprise estimaient la population affectée à environ 8,7 millions de clients.

Les informations compromises pouvaient comprendre des adresses e-mail, des numéros de téléphone, des codes postaux et des numéros d'immatriculation de véhicules utilisés pour ces services annexes. MAG a souligné que ni elle ni les systèmes consultés ne détenaient les coordonnées bancaires ou de cartes de paiement des clients, et qu'à aucun moment la sécurité des passagers ou la sûreté aérienne n'avait été affectée. L'entreprise a indiqué avoir agi rapidement pour contenir le risque et travailler avec des conseillers spécialisés et les autorités compétentes.

Ce qui s'est passé

L'incident a ensuite été revendiqué par un groupe se faisant appeler FulcrumSec, qui a publié des adresses e-mail et des numéros de téléphone qu'il rattachait à la violation. Selon l'analyse de sécurité, les attaquants ont affirmé avoir simplement extrait une clé API exposée dans le code JavaScript du site web — une défaillance de contrôle d'accès plutôt qu'une intrusion sophistiquée — et l'avoir utilisée pour extraire des enregistrements clients à grande échelle.

Pourquoi c'est important

La violation de MAG montre à quel point de nombreuses données personnelles sensibles résident désormais dans les services numériques périphériques d'un aéroport — parking, salons, Wi-Fi — plutôt que dans les systèmes opérationnels centraux. Elle rappelle aussi de façon frappante que les secrets codés en dur exposés dans le code côté client demeurent l'une des causes les plus courantes et les plus évitables d'exposition massive de données, permettant d'extraire des millions d'enregistrements sans pénétrer le réseau central.