Manchester Airports Group (MAG), som driver Manchester, London Stansted och East Midlands Airport, bekräftar att en cyberattack exponerat personuppgifter för cirka 8,7 miljoner kunder. Gruppen FulcrumSec tar på sig ansvaret och uppger att de lyckades hämta ut 86 GB data utan att behöva ta sig in via traditionella hackningsmetoder.

Intrånget drabbade bokningssystem för parkering, lounger och Fast Track samt registreringar för flygplatsernas gratis wi-fi. Uppgifter som kom åt inkluderar e-postadresser, telefonnummer, fordonsnummer och postnummer. Majoriteten av de drabbade hade enbart sin e-postadress exponerad.

Vad innebär det för de drabbade?

Kombinationen av e-post, telefonnummer och fordonsnummer gör det möjligt för angripare att bygga övertygande nätfiskeattacker. FulcrumSec uppger att de exfiltrerade nära 8,7 miljoner kundprofiler med tillräckligt med information för att kunna rikta in sig på enskilda individer med skräddarsydda bedrägerier.

MAG bekräftade attacken och uppgav att man vägrade betala lösen. Organisationen har informerat berörda kunder och polisanmält händelsen.

Lärdomar för organisationer

Det som gör det här intrånget anmärkningsvärt är att angriparna inte behövde bryta sig in via klassiska exploits. FulcrumSec tog sig åt data genom att utnyttja tredjepartssystem och bokningsplattformar med svag åtkomstkontroll, inte genom att ta sig förbi brandväggar eller kryptera system.

Det är en påminnelse om att dataintrång inte alltid kräver sofistikerade tekniska attacker. Tredjepartsleverantörer med åtkomst till kunddata är en av de vanligaste angreppsytorna, och organisationer behöver ställa samma säkerhetskrav på sina partners som på sin egen infrastruktur.

• Granska tredjepartsåtkomst till boknings- och kundhanteringssystem.
• Begränsa datamängden som lagras i externa system till det absolut nödvändiga.
• Implementera loggning och anomalidetektering för stora datauttagningar.

Mer information finns hos The Guardian och The Register.