Хакеры украли данные 8,7 млн клиентов аэропортов Британии

Кибератака на Manchester Airports Group (MAG) привела к утечке данных примерно 8,7 млн клиентов аэропортов Манчестера, Лондон-Станстеда и Ист-Мидлендса. Злоумышленники получили сведения, которые пользователи оставляли при подключении к аэропортовому Wi-Fi, бронировании парковки, бизнес-залов и услуги Fast Track — ускоренного прохождения предполетного досмотра.

Среди скомпрометированных данных есть адреса электронной почты, номера телефонов, регистрационные номера автомобилей и почтовые индексы. При этом набор украденной информации различается у разных клиентов: у подавляющего большинства пострадавших утек только адрес электронной почты. Банковских реквизитов и данных платежных карт в атакованной системе не было.

Manchester Airports Group владеет и управляет Manchester Airport, London Stansted Airport и East Midlands Airport. Компания называет себя крупнейшей аэропортовой группой Великобритании. За 12 месяцев к июлю 2026 года ее аэропорты обслужили почти 66,85 млн пассажиров.

MAG раскрыла инцидент 27 августа. В официальном уведомлении компания сообщила, что «неавторизованная третья сторона» получила часть клиентской информации. После обнаружения атаки оператор ограничил доступ к затронутым системам, привлек внешних специалистов по кибербезопасности и уведомил британские ведомства.

The Register со ссылкой на MAG пишет, что в подавляющем большинстве затронутых записей содержался только адрес электронной почты. Значительная часть таких адресов попала в базу при регистрации пользователей в бесплатных сетях Wi-Fi аэропортов.

Следующую по объему категорию составляли данные людей, которые начинали оформлять парковку или Fast Track и вводили свои сведения, но не завершали покупку. Записей, относящихся к уже оплаченным бронированиям, было меньше.

Сама MAG подтверждает четыре вида сервисов, откуда могли происходить данные: парковка, бизнес-залы, Fast Track и регистрация в Wi-Fi. Среди известных типов украденной информации компания перечисляет электронную почту, телефонные номера, регистрационные номера автомобилей и почтовые индексы.

Оператор отдельно подчеркивает, что ни MAG, ни затронутая система не хранят банковские реквизиты или сведения о платежных картах клиентов. Поэтому подтверждений кражи таких данных в рамках этого инцидента нет.

Также в опубликованном MAG перечне скомпрометированных данных нет паролей и паспортной информации. При этом корректнее говорить именно об отсутствии таких категорий среди раскрытых компанией данных: полный технический отчет о расследовании атаки пока не опубликован.

Инцидент оказался связан с вымогательством, однако это не была классическая атака программы-вымогателя с шифрованием корпоративных систем.

Представитель MAG подтвердил The Register, что атакующие похитили данные и затем потребовали деньги. Компания отказалась платить. Издание также пишет, что злоумышленники сначала получили доступ к одной из систем MAG, а затем похитили файлы из базы данных, размещенной у стороннего поставщика. Название этой системы и поставщика не раскрывается.

Financial Times также сообщает, что выкуп выплачен не был. Национальный центр кибербезопасности Великобритании (NCSC) подключился к работе с MAG после инцидента. Личность или название группировки публично не раскрываются.

MAG не раскрыла первоначальный способ проникновения. Нет подтвержденной информации о конкретной уязвимости, фишинговом письме, украденном пароле или компрометации учетной записи сотрудника.

Компания характеризовала атаку как технически сложную и сообщила The Register, что не связывает ее с обычной ошибкой сотрудника, например передачей злоумышленникам учетных данных. Публичных технических доказательств этой версии MAG пока не представила.

Атака не нарушила работу трех аэропортов. MAG утверждает, что инцидент не затронул операционные системы, безопасность полетов и авиационную безопасность. Парковки также продолжают работать в штатном режиме. Все ранее оформленные бронирования остаются действительными.

При этом компания временно отключила интернет-раздел Manage My Booking, через который клиенты могут самостоятельно менять или отменять бронирования. MAG называет эту меру превентивной. Для срочного изменения поездки компания предлагает обращаться в службу поддержки.

Прямой кражи денег через похищенные банковские данные в этом случае ожидать не приходится — таких сведений в атакованной системе не было. Основной риск связан с мошенническими письмами, SMS и звонками.

Британский Национальный центр кибербезопасности предупреждает, что преступники используют информацию из утечек, чтобы делать фишинговые сообщения убедительнее. После крупного инцидента мошенники могут представляться сотрудниками пострадавшей компании и предлагать «подтвердить аккаунт», «получить компенсацию» или перейти на поддельную страницу.

В случае MAG потенциально опасно сочетание нескольких типов информации. Письмо, в котором упомянут реальный аэропорт, номер автомобиля или факт использования парковки, выглядит убедительнее обычного массового спама.

Сам оператор предупредил клиентов, что не будет неожиданно обращаться к ним с просьбой сообщить номер банковской карты, банковские реквизиты или пароль. MAG уже начала напрямую уведомлять людей, чьи данные оказались затронуты.

NCSC советует после утечки не использовать контакты и ссылки из неожиданно пришедшего сообщения, а самостоятельно открывать официальный сайт компании. Подозрительные письма и SMS могут появиться не сразу, а через некоторое время после публикации информации об атаке.

В июле 2026 года MAG сообщала о рекордном пассажиропотоке: через три аэропорта за месяц прошли более 7 млн человек, а показатель за предыдущие 12 месяцев достиг 66,85 млн.

Эти цифры нельзя напрямую сопоставлять с 8,7 млн затронутых клиентов. Статистика аэропортов считает пассажирские поездки, поэтому один человек может учитываться несколько раз. Клиентская база Wi-Fi и дополнительных услуг также могла формироваться дольше одного года.

MAG пока публично не раскрыла, за какой период были собраны похищенные записи и соответствует ли оценка в 8,7 млн уникальным физическим лицам или количеству затронутых клиентских учетных записей.

Название группировки официально не опубликовано. The Register пишет, что речь идет об уже известной правоохранительным органам группе, занимающейся вымогательством. Детали требования о выкупе также не раскрываются.

К 30 августа MAG не назвала атакующих в своем публичном уведомлении и не опубликовала технические индикаторы компрометации. Расследование продолжается.

Вопросы и ответы

Какие аэропорты затронула кибератака?

Manchester Airport, London Stansted Airport и East Midlands Airport. Все три входят в Manchester Airports Group.

Сколько человек пострадало?

MAG подтвердила журналистам оценку примерно в 8,7 млн затронутых клиентов. На официальной странице компании конкретная цифра пока не указана.

Какие данные украли?

Подтверждены электронные адреса, телефонные номера, регистрационные номера автомобилей и почтовые индексы. Конкретный набор данных различается у разных клиентов.

У всех 8,7 млн украли телефоны и номера автомобилей?

Нет. У подавляющего большинства затронутых клиентов раскрыт только адрес электронной почты, часто полученный при регистрации в аэропортовом Wi-Fi.

Украли ли данные банковских карт?

MAG утверждает, что нет. Компания сообщает, что ни она сама, ни атакованная система не хранили банковские и платежные данные клиентов.

Это была атака программы-вымогателя?

MAG сообщила, что нет. Данные были похищены, после чего злоумышленники потребовали деньги, но подтверждений шифрования инфраструктуры программой-вымогателем нет.

MAG заплатила хакерам?

Нет. Компания подтвердила, что отказалась платить выкуп.

Пострадали ли рейсы?

Нет. MAG сообщает, что аэропортовые операции, безопасность полетов и пассажиров не были затронуты.