Manchester, London Stansted ed East Midlands: tre aeroporti britannici, un solo bersaglio comune. A fine agosto 2026 Manchester Airports Group (MAG) ha confermato una violazione che ha esposto i dati di circa 8,7 milioni di clienti. Una settimana dopo, il gruppo criminale FulcrumSec ha pubblicato online circa 550 GB di quei dati, dopo che MAG si è rifiutata di pagare il riscatto richiesto. Have I Been Pwned ha successivamente validato 8,8 milioni di indirizzi email e numeri di telefono nel set di dati diffuso. È uno dei più grandi data breach del settore aviazione mai registrati in Europa, e arriva mentre l’Italia risale la classifica delle vittime ransomware nel continente.
La vicenda MAG merita attenzione oltre la cronaca: mostra come un errore banale, una chiave amministrativa lasciata nel codice JavaScript pubblico di un sito, possa aprire la porta a uno dei furti di dati più estesi dell’anno. Ricostruiamo i fatti, i numeri e cosa significano per aziende e utenti in Italia e nel resto d’Europa.
Cosa è successo: la cronologia dell’attacco a Manchester Airports Group
MAG gestisce tre scali che insieme muovono decine di milioni di passeggeri l’anno: Manchester Airport, London Stansted e East Midlands Airport. Il 27 agosto 2026 il gruppo ha reso pubblico un incidente informatico, dichiarando che un “soggetto terzo non autorizzato” aveva avuto accesso ai dati di circa 8,7 milioni di clienti. Secondo quanto riportato da The Guardian, l’azienda ha precisato subito che i sistemi coinvolti riguardavano prenotazioni di parcheggio, lounge aeroportuali, servizi Fast Track e registrazioni al Wi-Fi degli scali, non i sistemi di sicurezza del volo né i dati di pagamento.
Nei giorni successivi la situazione si è aggravata. MAG ha confermato che gli attaccanti avevano chiesto un riscatto, il cui importo non è mai stato reso noto, e che l’azienda ha scelto di non pagare. Il 2 settembre la BBC ha riportato che i dati di quasi nove milioni di persone erano stati pubblicati online, offerti gratuitamente ad altri criminali. Il giorno seguente, il gruppo estorsivo FulcrumSec ha rivendicato l’attacco pubblicando circa 550 GB di dati non compressi, secondo quanto ricostruito da SecurityWeek. Un primo report aveva parlato di cifre diverse (circa 86 GB estratti da un dump di 640 GB), ma la maggioranza delle fonti autorevoli converge sui 550 GB diffusi pubblicamente.
La sequenza temporale, in sintesi: scoperta e disclosure pubblica il 27 agosto, rifiuto del riscatto comunicato nei giorni successivi, pubblicazione integrale dei dati il 2 settembre, rivendicazione tecnica di FulcrumSec il 3 settembre. In meno di dieci giorni, un incidente aziendale si è trasformato in una delle fughe di dati più commentate dell’anno nel Regno Unito.
Chi è FulcrumSec e come ha violato i sistemi di MAG
FulcrumSec non è un classico gruppo ransomware che cifra i sistemi della vittima: opera come collettivo di estorsione basato sul furto e la pubblicazione di dati, un modello sempre più diffuso perché richiede meno competenze tecniche di un attacco con cifratura e mette comunque pressione enorme sulla vittima attraverso la minaccia reputazionale.
Il vettore d’accesso iniziale, ricostruito dal blog specializzato SLCyber, è particolarmente istruttivo per chi lavora nello sviluppo web. Gli attaccanti sostengono di aver trovato le chiavi amministrative di Iterable, la piattaforma di customer engagement usata da MAG per gestire email e comunicazioni ai clienti, esposte in chiaro nel codice JavaScript frontend di tutti e tre i siti web del gruppo, come riportato inizialmente da The Register. Con quelle credenziali hanno potuto interrogare direttamente il backend della piattaforma ed estrarre profili cliente, prenotazioni e cronologia degli invii marketing su scala massiva.
Non si tratta quindi dello sfruttamento di una vulnerabilità software con un CVE assegnato, ma di un classico errore di configurazione: una chiave API con privilegi amministrativi lasciata accessibile lato client, dove chiunque ispezioni il codice sorgente di una pagina web può trovarla. È un errore che ricorre con frequenza sorprendente anche in aziende di grandi dimensioni, perché le integrazioni con piattaforme SaaS di terze parti (email marketing, CRM, sistemi di prenotazione) spesso sfuggono agli stessi controlli di sicurezza applicati ai sistemi principali dell’infrastruttura.
I numeri del data breach: quanti dati e quali categorie
Le cifre riportate dalle diverse fonti convergono su un quadro coerente, anche se con piccole variazioni a seconda della metodologia di conteggio. MAG parla di circa 8,7 milioni di clienti coinvolti; l’analisi del dataset trapelato condotta da Have I Been Pwned e ripresa da SecurityWeek indica 8,8 milioni di indirizzi email e numeri di telefono distinti. FulcrumSec, nella propria rivendicazione, cita cifre più granulari: circa 2,48 milioni di transazioni tra parcheggi, lounge e Fast Track, circa 461.000 messaggi SMS con dettagli di prenotazione in chiaro, oltre 2,5 milioni di prenotazioni storiche e circa 191.000 prenotazioni future con relativi programmi di viaggio.
Tra i dati esposti figurano nomi, indirizzi email, numeri di telefono, codici postali, targhe dei veicoli legate alle prenotazioni parcheggio e, secondo alcune ricostruzioni tecniche, anche indirizzi IP residenziali usati per accedere agli account. MAG ha più volte ribadito che il sistema compromesso non conteneva dati bancari o di pagamento, e che la sicurezza operativa degli aeroporti e la sicurezza dei voli non sono mai state a rischio. Non risultano invece conferme ufficiali sull’esposizione di documenti di viaggio o numeri di passaporto: la fuga riguarda soprattutto dati di contatto e cronologia di prenotazione, non documenti d’identità.
| Categoria di dato | Volume stimato | Fonte |
|---|---|---|
| Clienti coinvolti (dichiarazione MAG) | ~8,7 milioni | MAG / The Guardian |
| Email e numeri di telefono univoci | ~8,8 milioni | Have I Been Pwned / SecurityWeek |
| Dimensione del dump pubblicato | ~550 GB (non compressi) | FulcrumSec / SLCyber |
| Transazioni (parcheggio, lounge, Fast Track) | ~2,48 milioni | FulcrumSec |
| Messaggi SMS con dettagli prenotazione | ~461.000 | FulcrumSec |
| Prenotazioni storiche | ~2,5 milioni | FulcrumSec / AppliedTech |
| Prenotazioni future esposte | ~191.000 | FulcrumSec |
La reazione di Manchester Airports Group e il rifiuto del riscatto
MAG ha adottato una linea di comunicazione piuttosto trasparente rispetto alla media dei casi simili: ha confermato pubblicamente l’esistenza di una richiesta di riscatto e la propria decisione di non pagarla. È una scelta in linea con le raccomandazioni ufficiali del National Cyber Security Centre britannico, che da anni sconsiglia il pagamento perché non garantisce la cancellazione dei dati né impedisce nuove estorsioni, ma che nel breve termine ha comportato la pubblicazione integrale del dataset rubato.
Il gruppo ha inoltre precisato più volte che l’incidente non ha compromesso in alcun modo la sicurezza aerea o le operazioni di volo, un punto che le compagnie del settore tendono a sottolineare con forza per contenere l’impatto reputazionale su un tema, quello della sicurezza in aeroporto, particolarmente sensibile per il pubblico. Al momento della stesura di questo articolo non risultano sanzioni pubbliche da parte dell’Information Commissioner’s Office (ICO) britannico né bollettini tecnici specifici del NCSC dedicati unicamente a questo caso: il procedimento sembra trovarsi ancora nella fase di notifica e valutazione, non in quella di eventuale multa formale.
Perché il settore aviazione è un bersaglio sempre più frequente
Il caso MAG si inserisce in una tendenza più ampia che riguarda l’intero comparto dei trasporti aerei. Gli aeroporti e le compagnie aeree custodiscono enormi quantità di dati personali attraverso sistemi periferici, non necessariamente legati alla sicurezza del volo, come piattaforme di prenotazione parcheggi, programmi fedeltà, Wi-Fi di cortesia e servizi lounge. Questi sistemi si appoggiano spesso a fornitori SaaS esterni, ampliando la superficie di attacco senza che il livello di controllo interno cresca di pari passo.
A differenza di attacchi mirati ai sistemi operativi degli scali (bagagli, check-in, controllo del traffico a terra), l’incidente MAG dimostra che anche un sistema apparentemente marginale come una piattaforma di email marketing può diventare il punto d’ingresso per il furto di milioni di record. Con quasi 8,8 milioni di persone coinvolte e 550 GB di dati diffusi gratuitamente, il caso MAG si colloca tra le più grandi violazioni del settore aeroportuale europeo registrate nel 2026, sia per scala sia per il grado di trasparenza, forzata, del processo di estorsione e pubblicazione.
Il contesto europeo: l’Italia risale la classifica del ransomware
Il breach britannico non è un episodio isolato. Secondo il 2026 European Cyber Risk Report di Black Kite, tra gennaio 2025 e aprile 2026 si sono registrati 2.066 incidenti ransomware in organizzazioni europee distribuite su 31 paesi, con Germania, Regno Unito, Francia, Italia e Spagna che insieme rappresentano il 68,5% del totale. Il report di Infosecurity Magazine, basato sugli stessi dati, segnala una crescita degli attacchi ransomware in Europa del 55,1% su base annua nei primi quattro mesi del 2026, con una media di 171 incidenti al mese; il gruppo Qilin risulta il più attivo, con 372 incidenti registrati in 26 dei 31 paesi analizzati.
Il Bitdefender Threat Debrief di settembre 2026 aggiunge un dato particolarmente rilevante per i lettori italiani: nel mese di agosto l’Italia è salita al secondo posto tra le regioni più colpite a livello globale, un balzo rispetto alla classifica storica dove i posti dietro agli Stati Uniti erano tipicamente occupati da Germania e Canada. Il quadro complessivo mostra un’Europa sotto pressione crescente, dove il modello dell’estorsione via furto e pubblicazione di dati, lo stesso usato da FulcrumSec contro MAG, sta guadagnando terreno rispetto al ransomware classico basato sulla cifratura.
| Indicatore | Valore | Periodo/Fonte |
|---|---|---|
| Incidenti ransomware in Europa (31 paesi) | 2.066 | Gen 2025 – Apr 2026, Black Kite |
| Quota di 5 paesi (DE, UK, FR, IT, ES) sul totale | 68,5% | Black Kite 2026 |
| Crescita YoY attacchi ransomware Europa | +55,1% | Gen-Apr 2026, Infosecurity Magazine |
| Media incidenti mensili in Europa | 171 | Infosecurity Magazine 2026 |
| Incidenti attribuiti al gruppo Qilin | 372 (26 paesi) | Infosecurity Magazine 2026 |
| Posizione Italia tra le regioni più colpite | 2° posto (agosto 2026) | Bitdefender Threat Debrief, settembre 2026 |
Dal ransomware con cifratura all’estorsione pura: un cambio di modello
Il caso MAG conferma un’evoluzione che gli analisti osservano da tempo: sempre più gruppi criminali abbandonano, o affiancano, il classico ransomware con cifratura dei file a favore di un modello di estorsione basato puramente sul furto e sulla minaccia di pubblicazione. Il vantaggio per gli attaccanti è duplice: da un lato richiede competenze tecniche minori rispetto allo sviluppo o all’acquisto di malware di cifratura sofisticato, dall’altro riduce il rischio di essere individuati durante l’attacco, dato che non è necessario bloccare i sistemi della vittima per esercitare pressione.
Per le aziende, questo significa che la difesa non può più concentrarsi solo su endpoint e backup contro la cifratura: serve monitorare attivamente l’esposizione di credenziali e chiavi API nel codice pubblico, nei repository, nelle configurazioni cloud e nelle integrazioni con fornitori SaaS terzi. Il caso Iterable-MAG è un esempio da manuale di come una chiave dimenticata in un file JavaScript scaricabile da chiunque possa valere quanto una vulnerabilità critica non patchata.
Cosa rischiano gli 8,8 milioni di utenti coinvolti
Anche se MAG esclude l’esposizione di dati bancari o di pagamento, la combinazione di email, numero di telefono, codice postale e in alcuni casi indirizzo IP residenziale costituisce comunque una base solida per campagne di phishing mirato. I criminali che acquisiscono questi dataset, spesso resi disponibili gratuitamente proprio per massimizzarne la diffusione, possono costruire messaggi di smishing (phishing via SMS) e email fraudolente che sfruttano dettagli reali di prenotazione per apparire credibili, ad esempio riferendosi a una specifica prenotazione parcheggio o a un volo realmente programmato.
Per chi ha usato i servizi di parcheggio, lounge o Wi-Fi di Manchester, Stansted o East Midlands negli ultimi anni, le raccomandazioni pratiche restano quelle standard in questi casi: diffidare di comunicazioni non richieste che citano dettagli di viaggio, verificare sempre l’URL di eventuali link ricevuti via SMS o email prima di inserire credenziali, e attivare l’autenticazione a due fattori su tutti gli account collegati agli stessi indirizzi email coinvolti nella fuga.
Il confronto con altri grandi data breach europei del 2026
Per dimensione, il breach MAG si colloca nella fascia alta delle violazioni dati registrate quest’anno in Europa, anche se non è la più estesa in assoluto. Il confronto con altri episodi recenti aiuta a inquadrarlo: violazioni come quella subita da grandi piattaforme cloud o enti pubblici hanno talvolta superato la soglia dei dieci milioni di record, mentre altri incidenti nel settore dei trasporti si sono limitati a decine o centinaia di migliaia di clienti coinvolti, spesso perché relativi a un singolo servizio o filiale anziché a un gruppo con più scali come MAG.
Ciò che distingue il caso MAG non è solo la scala, ma la combinazione di tre fattori: primo, la trasparenza quasi totale del processo, con la vittima che conferma pubblicamente la richiesta di riscatto e il rifiuto di pagare; secondo, la rapidità con cui il dataset è stato reso pubblico dopo il rifiuto, appena una settimana; terzo, la natura del vettore d’attacco, una chiave amministrativa esposta lato client, tecnicamente banale da individuare per un attaccante ma altrettanto facile da prevenire con un controllo di sicurezza di base sul codice sorgente pubblicato online.
Le lezioni tecniche per sviluppatori e team di sicurezza
Il vettore d’attacco usato contro MAG offre indicazioni pratiche dirette per chiunque gestisca integrazioni con piattaforme SaaS di terze parti.
Separare le chiavi pubbliche da quelle amministrative
La prima lezione riguarda la separazione netta tra chiavi API con permessi di lettura pubblica e chiavi con permessi amministrativi: queste ultime non dovrebbero mai comparire in codice eseguito lato client, nemmeno in ambienti di test o script apparentemente temporanei, perché il codice servito al browser è per definizione visibile a chiunque lo ispezioni.
Audit periodico delle integrazioni SaaS
La seconda lezione riguarda l’audit periodico delle integrazioni SaaS: molte aziende trattano le piattaforme di email marketing o CRM come sistemi secondari rispetto all’infrastruttura core, applicando controlli di sicurezza meno stringenti. Il caso MAG dimostra che una piattaforma di customer engagement può contenere milioni di record sensibili e merita lo stesso livello di scrutinio riservato ai database di produzione. Strumenti di scansione automatica del codice sorgente pubblico, capaci di individuare pattern di chiavi API e segreti esposti prima che vengano sfruttati, rappresentano una misura di difesa relativamente economica rispetto al costo di un incidente di questa portata.
Previsioni: cosa aspettarsi nei prossimi mesi
- L’Information Commissioner’s Office britannico avvierà probabilmente un’istruttoria formale su MAG nelle prossime settimane, data la scala del breach e l’obbligo di notifica previsto dal GDPR britannico; un esito con sanzione pecuniaria, anche se non immediata, appare probabile entro la prima metà del 2027.
- Il modello di estorsione “furto e pubblicazione senza cifratura” adottato da FulcrumSec continuerà a guadagnare quote rispetto al ransomware classico, perché richiede meno risorse tecniche e mette comunque pressione efficace sulle vittime attraverso la minaccia reputazionale.
- Altri operatori del settore trasporti e aeroportuale in Europa, inclusi scali italiani, dovrebbero avviare audit mirati sulle proprie integrazioni SaaS di customer engagement nei prossimi mesi, spinti proprio dalla visibilità mediatica del caso MAG.
- Ci si può attendere un aumento delle campagne di phishing e smishing che sfruttano i dati trapelati, mirate in particolare ai clienti che hanno usato servizi di parcheggio o lounge negli scali coinvolti negli ultimi anni.
- Con l’Italia salita al secondo posto tra le regioni più colpite dal ransomware secondo Bitdefender, è probabile che nei prossimi report trimestrali il paese resti stabilmente tra i primi cinque bersagli europei, alimentando ulteriori pressioni normative legate a NIS2.
Il ruolo delle piattaforme SaaS nella catena di responsabilità
Un aspetto spesso trascurato in questo tipo di incidenti è la responsabilità condivisa tra l’azienda cliente e il fornitore della piattaforma SaaS coinvolta. Iterable, come la maggior parte dei fornitori di customer engagement, mette a disposizione strumenti per gestire le chiavi API con permessi granulari, incluse chiavi a sola lettura o con scope limitato. Se la chiave esposta nel codice di MAG aveva effettivamente permessi amministrativi ampi, la responsabilità della configurazione ricade primariamente sull’azienda cliente, non sul fornitore della piattaforma.
Questo solleva una questione più ampia per chi valuta fornitori SaaS: la sicurezza della piattaforma in sé conta meno della capacità del cliente di configurarla correttamente. Contratti e documentazione tecnica dovrebbero sempre chiarire quali permessi assegnare a ciascuna chiave, e i team di sviluppo dovrebbero adottare come prassi predefinita il principio del minimo privilegio anche per le integrazioni di terze parti considerate a basso rischio.
Impatto di mercato e reputazionale per il settore aeroportuale
Sul piano finanziario, MAG non è una società quotata in borsa con azionariato diffuso: il gruppo è controllato da Manchester City Council, dagli altri consigli comunali della Greater Manchester e da IFM Investors, quindi l’incidente non ha prodotto le classiche ricadute immediate sul titolo azionario osservate in altri settori dopo un data breach di scala comparabile. L’impatto si misura piuttosto in termini di costi di gestione dell’incidente, notifica agli utenti coinvolti, possibili azioni legali collettive e, soprattutto, danno reputazionale su un servizio che milioni di passeggeri usano ogni anno per parcheggio e lounge.
Per il comparto assicurativo cyber, casi come questo alimentano una revisione al rialzo dei premi per le polizze che coprono operatori di infrastrutture di trasporto, dato che il rischio di esposizione di dati attraverso sistemi periferici, non direttamente legati alla sicurezza operativa, si conferma sistemico e non episodico.
Come proteggersi se si è stati coinvolti nel breach
Chi ha prenotato parcheggio, lounge o Fast Track presso Manchester, Stansted o East Midlands negli ultimi anni, o si è registrato al Wi-Fi di questi scali, può verificare la propria esposizione attraverso servizi di controllo violazioni come Have I Been Pwned, che ha già indicizzato il dataset. Le raccomandazioni pratiche restano tre: attivare l’autenticazione a due fattori sugli account email coinvolti, diffidare di SMS o email che citano dettagli di viaggio reali per apparire legittimi, e monitorare eventuali tentativi di accesso non autorizzato agli account collegati agli stessi recapiti.
Domande frequenti
Quanti utenti sono stati coinvolti nella violazione di Manchester Airports Group?
MAG parla di circa 8,7 milioni di clienti, mentre l’analisi del dataset trapelato da Have I Been Pwned indica 8,8 milioni di indirizzi email e numeri di telefono univoci.
I dati bancari sono stati esposti?
No. MAG ha confermato più volte che il sistema compromesso non conteneva dati di pagamento o coordinate bancarie.
Chi ha rivendicato l’attacco?
Il gruppo di estorsione FulcrumSec, che ha pubblicato circa 550 GB di dati non compressi dopo il rifiuto di MAG di pagare il riscatto.
Come sono entrati gli attaccanti nei sistemi di MAG?
Secondo la ricostruzione di FulcrumSec, tramite chiavi amministrative della piattaforma di customer engagement Iterable, esposte nel codice JavaScript pubblico dei siti web dei tre aeroporti, non tramite lo sfruttamento di una vulnerabilità con CVE assegnato.
La sicurezza dei voli è stata compromessa?
No. MAG ha ribadito che l’incidente ha riguardato solo sistemi di prenotazione e marketing, non i sistemi operativi legati alla sicurezza aerea.
MAG ha pagato il riscatto richiesto?
No, il gruppo ha confermato pubblicamente di aver rifiutato di pagare, scelta che ha portato alla pubblicazione integrale del dataset rubato.
Cosa rischiano concretamente gli utenti coinvolti?
Il rischio principale è quello di campagne di phishing e smishing mirate, costruite sfruttando dettagli reali di prenotazione o di viaggio per apparire credibili.
C’è un legame con la crescita del ransomware in Italia?
Non diretto, ma il caso si inserisce in un contesto europeo dove l’Italia è salita al secondo posto tra le regioni più colpite da ransomware ad agosto 2026, secondo il Bitdefender Threat Debrief, segno di una pressione crescente sull’intero continente.
