Fuite de données massive chez Manchester Airports Group

Escale forcée au rayon cybersécurité. Manchester Airports Group, l’opérateur des aéroports de Manchester, Londres Stansted et East Midlands, a reconnu ce jeudi 27 août qu’un intrus s’était servi dans ses bases clients. Pas de vol annulé, pas de piste bloquée, mais des millions d’adresses e-mail, de numéros de téléphone et de plaques d’immatriculation dans la nature. Et le point d’entrée fait sourire jaune : les formulaires d’inscription au Wi-Fi gratuit et les réservations de parking. Encore une fuite de données qui touche un service public du quotidien, et pas le plus sexy.

Manchester Airports Group : le Wi-Fi gratuit qui coûte cher

Le groupe a publié sa déclaration officielle le 27 août, en fin de matinée. Le texte est sobre. Un « tiers non autorisé » a obtenu « une quantité de données clients » liées aux réservations de parking, de salons et de passage prioritaire (le fameux Fast Track), ainsi qu’aux inscriptions au Wi-Fi des aéroports. Les données concernées sont les adresses e-mail, les numéros de téléphone, les immatriculations de véhicules et les codes postaux.

Rien de bancaire, insiste MAG. En effet, le système touché ne stocke ni coordonnées de paiement ni numéros de carte. La sécurité aérienne n’a pas été affectée, les avions décollent, les opérations tournent. Le groupe affirme avoir « immédiatement contenu le risque », appelé des spécialistes extérieurs et prévenu les autorités compétentes. Le service en ligne « Manage My Booking » a tout de même été suspendu le temps de l’enquête.

Pour situer l’échelle, les trois plateformes de Manchester Airports Group voient passer plus de 66 millions de passagers par an. Un formulaire Wi-Fi rempli à la va-vite entre deux portes d’embarquement, multiplié par des années d’exploitation, finit par constituer un annuaire d’une taille respectable. Et c’est précisément ce que quelqu’un vient d’emporter.

8,7 millions de clients : une fuite de données taillée pour le phishing

Le communiqué de MAG ne donne aucun chiffre. C’est The Record, le 27 août, qui a mis un nombre sur l’incident, environ 8,7 millions de clients concernés. Un porte-parole du groupe, cité par le Yorkshire Post, tempère : dans « la grande majorité » des cas, la seule information consultée serait une adresse e-mail. Le reste, téléphone, plaque et code postal, concerne surtout les clients qui ont réservé une place de parking ou un accès aux salons.

Sauf que c’est justement cette minorité qui pose problème. Une adresse e-mail seule, c’est du spam en plus. Une adresse e-mail associée à une immatriculation, un code postal et une date de séjour au parking de Stansted, c’est un kit prêt à l’emploi pour un faux « remboursement de parking » ou une fausse amende de stationnement, envoyés au bon moment à la bonne personne.

Le phishing (hameçonnage, l’art de se faire passer pour un organisme légitime pour soutirer des identifiants ou un paiement) adore ce genre de précision. MAG a d’ailleurs prévenu ses clients par e-mail de rester vigilants face à des messages suspects. L’ironie de recevoir un e-mail d’alerte sur les e-mails frauduleux n’aura échappé à personne.

Aucun groupe de rançongiciel n’avait revendiqué l’attaque jeudi soir. Les modalités de l’intrusion, elles aussi, restent floues. Le groupe parle d’une « attaque sophistiquée » plutôt que d’une erreur humaine, formule classique dans ce genre de communiqué, à prendre avec les pincettes d’usage.

Aéroports et cyberattaques : Manchester n’est qu’une escale de plus

Le secteur aérien collectionne les incidents depuis deux ans. En septembre 2025, une attaque par rançongiciel contre Collins Aerospace, fournisseur des systèmes d’enregistrement de nombreux aéroports européens, avait paralysé les comptoirs d’Heathrow, de Bruxelles, de Berlin et de Dublin pendant plusieurs jours. Les passagers enregistraient à la main, avec des étiquettes bagages écrites au stylo. Un an plus tôt, l’aéroport de Seattle-Tacoma avait vu ses écrans et ses sites web tomber sous les coups du groupe Rhysida, qui réclamait 100 bitcoins de rançon pour restituer les données.

La différence avec Manchester tient au fait que rien ne s’est arrêté. Personne n’a vu la panne. C’est la version silencieuse du problème, celle qui ne fait pas la une des journaux télévisés, mais qui alimente pendant des mois les campagnes d’escroquerie. Les aéroports ont beau blinder leurs systèmes de contrôle aérien, ils traînent derrière eux des dizaines d’applications commerciales (parking, salons, Wi-Fi, boutiques) bien moins surveillées et souvent hébergées chez des prestataires tiers. La chaîne casse là où elle est la plus fine.