MAG : 8,7 millions de clients touchés par une fuite de données

Une fuite confirmée, sans effet annoncé sur les vols

Manchester Airports Group, ou MAG, a confirmé un incident de cybersécurité impliquant un tiers non autorisé. Le groupe exploite les aéroports de Manchester, Londres-Stansted et East Midlands. Ce point est important : il ne s’agit pas d’une revendication publiée par des pirates, mais d’une fuite reconnue par l’opérateur lui-même.

Dans son communiqué, MAG dit avoir immédiatement contenu le risque, avoir sollicité des conseillers spécialisés et avoir prévenu les autorités compétentes. Le groupe affirme aussi que la sécurité des passagers et la sûreté aérienne n’ont pas été compromises. Les opérations aéroportuaires et les services de stationnement sont restés actifs, selon lui.

La conséquence connue est donc une exposition de données commerciales et de contact, pas une atteinte déclarée aux systèmes qui font décoller, atterrir ou contrôler les avions. Les voyageurs ne doivent pas confondre ces deux réalités : un vol ou une réservation ne sont pas annoncés comme annulés par cet incident, alors qu’une arnaque très crédible peut suivre la fuite.

Les services visés donnent un contexte aux escrocs

Les informations proviennent des réservations de parkings, de salons et de services Fast Track, ainsi que des inscriptions au Wi-Fi dans les aérogares. MAG cite les adresses électroniques, numéros de téléphone, immatriculations de véhicules et codes postaux parmi les données obtenues. Le groupe précise que ni lui ni le système touché ne détenaient de coordonnées bancaires ou de paiement.

Cette dernière précision ne rend pas la fuite anodine. Un escroc qui connaît une adresse e-mail, un numéro, un code postal et parfois une plaque peut donner l’impression de connaître réellement son interlocuteur. Ajouté au contexte d’un aéroport, ce lot de données peut nourrir un faux message sur un parking, une modification de réservation, un supplément de bagage ou un remboursement.

Le risque le plus plausible n’est donc pas un débit direct de carte lié à cette base, puisque les paiements ne s’y trouvaient pas. C’est le phishing, par courriel, SMS ou appel : le fraudeur cherche ensuite à faire saisir une carte, un identifiant ou un code de validation sur une fausse page.

Le bilan de 8,7 millions est désormais rapporté avec plus de précision

Le communiqué public de MAG décrit les catégories de données touchées, mais n’y chiffre pas le nombre de clients. Le Manchester Evening News rapporte toutefois le message envoyé aux personnes concernées : il évoque environ 8,7 millions de clients et précise que, pour la grande majorité, les données exposées se limitent à l’adresse e-mail. Cette précision est différente du bilan initial, qui ne permettait pas d’attribuer clairement le chiffre à l’opérateur.

Nous présentons donc 8,7 millions comme un nombre rapporté à partir de cette communication aux clients, et non comme une donnée chiffrée dans le communiqué public consulté. Cette nuance compte : elle permet de distinguer ce que MAG affiche directement sur son site de ce qui est cité par la presse à partir des notifications individuelles.

MAG a aussi averti les clients de rester vigilants face aux courriels, appels et SMS inattendus prétendant venir de lui. Infosecurity Magazine rapporte que le service en ligne de gestion des réservations a été suspendu temporairement par précaution, tandis que les réservations à venir restaient valables.

Le réflexe utile : n’utilisez jamais le lien reçu

Si vous avez utilisé le Wi-Fi, un parking, un salon ou Fast Track dans l’un de ces trois aéroports, ne répondez pas à un message inattendu au sujet d’un remboursement ou d’une réservation. Même si le message cite un détail réel, ouvrez vous-même le site ou l’application de l’aéroport, puis recherchez votre dossier depuis ce point de départ.

Le même réflexe vaut pour le téléphone. Un interlocuteur qui connaît votre plaque, votre code postal ou le service réservé peut paraître légitime, mais ces informations peuvent justement provenir de la fuite. Ne communiquez jamais un code reçu par SMS, une information bancaire ou un identifiant à une personne qui vous appelle.

Les réservations existantes restent annoncées comme valables. Une demande urgente de paiement ou de confirmation par un lien reçu est donc un signal d’alerte, pas une preuve que vous devez agir immédiatement.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier le mode d’intrusion, la date exacte à laquelle il a commencé, l’identité des auteurs ni la durée pendant laquelle les données ont été accessibles. MAG parle d’un tiers non autorisé sans donner davantage de détails techniques.

Nous ne pouvons pas non plus savoir quelles catégories de données concernent chaque client. Le chiffre de 8,7 millions est rapporté par la presse britannique à partir d’un message aux clients, alors que le communiqué public de MAG ne l’affiche pas. Enfin, nous ne pouvons pas vérifier de manière indépendante que la majorité des dossiers ne contenaient qu’une adresse e-mail : cette indication est attribuée au message relayé par le Manchester Evening News.

Sources : Manchester Airports Group ↗ · Manchester Evening News ↗ · Infosecurity Magazine ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.