Cyberattaque à Manchester : 8,7 millions de voyageurs piégés par le Wi-Fi gratuit des aéroports

Escale forcée au rayon cybersécurité. Manchester Airports Group, l'opérateur des aéroports de Manchester, Londres Stansted et East Midlands, a reconnu ce jeudi 27 août qu'un intrus s'était servi dans ses bases clients. Pas de vol annulé, pas de piste bloquée, mais des millions d'adresses e-mail, de numéros de téléphone et de plaques d'immatriculation dans la nature. Et le point d'entrée fait sourire jaune : les formulaires d'inscription au Wi-Fi gratuit et les réservations de parking. Encore une fuite de données qui touche un service public du quotidien, et pas le plus sexy.
Les points clés de cet article :

• Manchester Airports Group a reconnu une fuite de données massive affectant des millions de clients, via des formulaires Wi-Fi et des réservations de parking.
• Environ 8,7 millions de clients ont été potentiellement exposés, rendant cette fuite propice au phishing, bien qu'aucune donnée bancaire n'ait été compromise.
  Le groupe a publié sa déclaration officielle le 27 août, en fin de matinée. Le texte est sobre. Un tiers non autorisé a obtenu une quantité de données clients liées aux réservations de parking, de salons et de passage prioritaire (le fameux Fast Track), ainsi qu'aux inscriptions au Wi-Fi des aéroports. Les données concernées sont les adresses e-mail, les numéros de téléphone, les immatriculations de véhicules et les codes postaux.
  Rien de bancaire, insiste MAG. En effet, le système touché ne stocke ni coordonnées de paiement ni numéros de carte. La sécurité aérienne n'a pas été affectée, les avions décollent, les opérations tournent. Le groupe affirme avoir immédiatement contenu le risque, appelé des spécialistes extérieurs et prévenu les autorités compétentes. Le service en ligne Manage My Booking a tout de même été suspendu le temps de l'enquête.
  Pour situer l'échelle, les trois plateformes de Manchester Airports Group voient passer plus de 66 millions de passagers par an. Un formulaire Wi-Fi rempli à la va-vite entre deux portes d'embarquement, multiplié par des années d'exploitation, finit par constituer un annuaire d'une taille respectable. Et c'est précisément ce que quelqu'un vient d'emporter.
  8,7 millions de clients : une fuite de données taillée pour le phishing
  Le communiqué de MAG ne donne aucun chiffre. C'est The Record, le 27 août, qui a mis un nombre sur l'incident, environ 8,7 millions de clients concernés. Un porte-parole du groupe, cité par le Yorkshire Post, tempère : dans la grande majorité des cas, la seule information consultée serait une adresse e-mail. Le reste, téléphone, plaque et code postal, concerne surtout les clients qui ont réservé une place de parking ou un accès aux salons.
  Sauf que c'est justement cette minorité qui pose problème. Une adresse e-mail seule, c'est du spam en plus. Une adresse e-mail associée à une immatriculation, un code postal et une date de séjour au parking de Stansted, c'est un kit prêt à l'emploi pour un faux remboursement de parking ou une fausse amende de stationnement, envoyés au bon moment à la bonne personne.
  Le phishing (hameçonnage, l'art de se faire passer pour un organisme légitime pour soutirer des identifiants ou un paiement) adore ce genre de précision. MAG a d'ailleurs prévenu ses clients par e-mail de rester vigilants face à des messages suspects. L'ironie de recevoir un e-mail d'alerte sur les e-mails frauduleux n'aura échappé à personne.
  Aucun groupe de rançongiciel n'avait revendiqué l'attaque jeudi soir. Les modalités de l'intrusion, elles aussi, restent floues. Le groupe parle d'une attaque sophistiquée plutôt que d'une erreur humaine, formule classique dans ce genre de communiqué, à prendre avec les pincettes d'usage.
  Le secteur aérien collectionne les incidents depuis deux ans. En septembre 2025, une attaque par rançongiciel contre Collins Aerospace, fournisseur des systèmes d'enregistrement de nombreux aéroports européens, avait paralysé les comptoirs d'Heathrow, de Bruxelles, de Berlin et de Dublin pendant plusieurs jours. Les passagers enregistraient à la main, avec des étiquettes bagages écrites au stylo. Un an plus tôt, l'aéroport de Seattle-Tacoma avait vu ses écrans et ses sites web tomber sous les coups du groupe Rhysida, qui réclamait 100 bitcoins de rançon pour restituer les données.
  La différence avec Manchester tient au fait que rien ne s'est arrêté. Personne n'a vu la panne. C'est la version silencieuse du problème, celle qui ne fait pas la une des journaux télévisés, mais qui alimente pendant des mois les campagnes d'escroquerie. Les aéroports ont beau blinder leurs systèmes de contrôle aérien, ils traînent derrière eux des dizaines d'applications commerciales (parking, salons, Wi-Fi, boutiques) bien moins surveillées et souvent hébergées chez des prestataires tiers. La chaîne casse là où elle est la plus fine.
  Côté régulateur, l'affaire atterrit sur le bureau de l'ICO, l'autorité britannique de protection des données. Le précédent existe et il est cuisant : en octobre 2020, l'ICO avait infligé 20 millions de livres d'amende à British Airways pour une fuite touchant 400 000 clients, sanction record à l'époque au Royaume-Uni. Avec 8,7 millions de personnes concernées, MAG joue dans une autre catégorie.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.