Kybernetický útok na Manchester Airports Group (MAG) upozornil na další problém, který může vzniknout při používání externích online služeb. Útočníci získali zákaznická data týkající se přibližně 8,7 milionu lidí. Skupina FulcrumSec následně tvrdí, že z infrastruktury letištní skupiny odcizila až 86 GB dat a že k přístupu využila API credentials vystavené v client-side JavaScriptu.
Kybernetický útok na Manchester Airports Group nezastavil provoz letišť
Manchester Airports Group provozuje tři významná britská letiště – Manchester Airport, London Stansted Airport a East Midlands Airport. Kybernetický útok na Manchester Airports Group přitom neměl podobu klasického ransomwarového útoku, při kterém útočníci zašifrují systémy a znemožní společnosti provoz. Letiště fungovala dál, letadla létala, odbavení pokračovalo a podle dostupných informací nebyla narušena bezpečnost leteckého provozu. Útočníci se místo toho zaměřili na zákaznická data.
MAG oznámila, že během incidentu došlo ke kompromitaci systému obsahujícího informace o zákaznících. Podle dosavadních údajů může být incident spojen s daty přibližně 8,7 milionu lidí.
Jaká data útočníci získali?
MAG uvedla, že u naprosté většiny dotčených osob šlo pouze o e-mailovou adresu. Tyto údaje byly v řadě případů spojeny například s registrací k letištní Wi-Fi. U části zákazníků však mohly být dotčeny také telefonní čísla, poštovní směrovací čísla, registrační značky vozidel, informace související s parkováním, rezervace letištních salonků, Fast Track rezervace a údaje spojené s využíváním letištní Wi-Fi.
MAG zároveň uvedla, že kompromitovaný systém neobsahoval bankovní ani platební údaje. Jenže následné tvrzení útočníků popisuje výrazně větší objem získaných dat.
FulcrumSec tvrdí, že získala 86 GB dat
K odpovědnosti za kybernetický útok na Manchester Airports Group se přihlásila skupina FulcrumSec. Podle jejího tvrzení útočníci získali přibližně 86 GB dat. FulcrumSec tvrdí, že mezi získanými informacemi byla například historie rezervací, údaje o nákupech, částky, reference, informace o terminálech a časech cest, IP adresy, údaje o používaných zařízeních nebo marketingová data.
Skupina rovněž tvrdí, že získala informace týkající se téměř 200 000 budoucích cest v roce 2026. Tato čísla však zatím nelze považovat za potvrzený rozsah incidentu. MAG tvrzení o 86 GB odcizených dat ani o téměř 200 000 budoucích cestách veřejně nepotvrdila.
Jeden ze záznamů odpovídal skutečnému cestujícímu
Přesto se objevila informace, která dává tvrzením FulcrumSec určitou váhu. Server BleepingComputer získal ukázku dat, která měla pocházet z útoku. Jeden konkrétní záznam se podařilo porovnat se skutečnou historií nákupů jednoho cestujícího.
Údaje odpovídaly jeho předchozím Fast Track nákupům. Seděl čas, terminál, částka i další informace. To samozřejmě nepotvrzuje, že FulcrumSec skutečně získala všech 86 GB dat, ukazuje to ale, že alespoň část zveřejněných údajů odpovídala skutečným zákaznickým datům.
API klíče měly být vystavené v JavaScriptu
Nejzajímavější technická část celého případu se týká marketingové platformy Iterable. FulcrumSec tvrdí, že útočníci objevili API credentials dostupné v JavaScriptu, který se načítal přímo do prohlížeče návštěvníka.
Pokud se tato informace potvrdí, šlo by o velmi názorný příklad základního problému webové bezpečnosti. Co odešlete do prohlížeče uživatele, nemůžete považovat za tajemství. JavaScript stažený do prohlížeče může uživatel analyzovat. Stejně tak lze pomocí vývojářských nástrojů sledovat síťovou komunikaci a zjistit, jaké požadavky web odesílá.
Pokud je v client-side kódu vystaven serverový API klíč s příliš širokými oprávněními, může útočník potenciálně získat přístup k funkcím nebo datům, ke kterým by se běžný návštěvník dostat neměl. Dokumentace Iterable ostatně upozorňuje, že server-side API klíče nemají být vystavovány v client-side kódu.
Je však potřeba zdůraznit, že tato konkrétní cesta útoku zatím nebyla ze strany MAG veřejně potvrzena. V současnosti jde o tvrzení skupiny FulcrumSec.
Proč jsou letištní data pro útočníky zajímavá?
Samotná e-mailová adresa nemusí působit jako zásadně citlivý údaj. Situace se ale mění ve chvíli, kdy ji útočník zkombinuje s dalšími informacemi. Představme si, že má k dispozici e-mailovou adresu, telefonní číslo, termín cesty, letiště, terminál, informace o parkování a registrační značku vozidla.
Najednou může vytvořit velmi přesvědčivý phishing. Místo obecné zprávy typu „Potvrďte svou rezervaci na letišti“ může útočník poslat zprávu obsahující skutečné letiště, termín cesty nebo informace o parkování. Oběť pak nemá pocit, že dostala náhodný spam. Útočník totiž používá informace, které skutečně zná.
Právě proto je kybernetický útok na Manchester Airports Group zajímavý i z pohledu následných phishingových kampaní a sociálního inženýrství.
MAG výkupné nezaplatila
FulcrumSec podle dostupných informací požadovala za nezveřejnění ukradených dat výkupné. MAG však odmítla zaplatit. Incident tak představuje typický příklad data theft & extortion, tedy krádeže dat a následného vydírání.
Útočník nemusí zašifrovat jediný počítač. Pokud se mu podaří získat dostatečně zajímavá data, může firmu vydírat samotnou hrozbou jejich zveřejnění. V tomto případě tak nebylo nutné vyřadit z provozu letiště – stačilo získat data jejich zákazníků.
Co si z útoku odnést?
Kybernetický útok na Manchester Airports Group ukazuje, že kybernetický incident nemusí znamenat odstavení celé infrastruktury. Letiště může normálně fungovat, zatímco útočníci mezitím získávají data jeho zákazníků.
Případ zároveň ukazuje riziko spojené s externími službami a API. Moderní webové aplikace využívají velké množství externích systémů, marketingových platforem a dalších služeb. Každá z nich představuje další prvek, který je potřeba správně zabezpečit.
A především platí jednoduché pravidlo: API klíč není tajný, pokud ho pošlete do prohlížeče. Citlivé server-side credentials musí zůstat na serveru a jejich oprávnění by měla být co nejvíce omezena. Pokud aplikace potřebuje komunikovat s externí službou z prohlížeče, měla by využívat mechanismus navržený právě pro tento scénář – nikoliv vystavovat privilegovaný serverový klíč každému návštěvníkovi webu.
Vyšetřování incidentu stále pokračuje a není veřejně potvrzen celý rozsah odcizených dat ani přesná cesta, kterou útočníci do systémů MAG pronikli. Případ Manchester Airports Group tak zatím zůstává kombinací potvrzeného úniku zákaznických dat a dalších tvrzení útočníků, která se teprve ověřují.
Jedna věc je ale jistá: pro útočníka nemusí být nejcennějším cílem samotné letiště. Někdy stačí lidé, kteří jím procházejí.
Zdroje
Nsane Forums – https://nsaneforums.com/news/security-privacy-news/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data-r36400
SHAttered – https://shattered.io/manchester-airports-group-breach-8-7-million-2026/ AvioRadar – https://avioradar.net/en/cyberattack-on-three-uk-airports-data-of-8-7-million-customers-stolen-hackers-demand-ransom/
TechRepublic – https://www.techrepublic.com/article/news-uk-airport-cyberattack-8-7-million-customers-emea/
Sysdig (FulcrumSec playbook) – https://www.sysdig.com/blog/the-fulcrumsec-playbook-how-to-detect-and-stop-the-group-behind-the-novo-nordisk-breach
BleepingComputer – https://www.bleepingcomputer.com/news/security/manchester-airports-group-says-hackers-stole-travelers-data/
