Índice del artículo
8,8 millones de viajeros expuestos: la fuga de datos de los aeropuertos de Manchester, Stansted y East Midlands
El grupo ciberdelincuencial FulcrumSec ha publicado los datos de 8,8 millones de clientes de los aeropuertos de Manchester, Londres-Stansted y East Midlands, gestionados por Manchester Airports Group (MAG). La fuga, de unos 86 GB, es la consecuencia directa de una decisión dura pero coherente: la compañía se negó a pagar el rescate y el grupo publicó lo robado. Para el viajero, la pregunta ya no es si sus datos existen ahí, sino qué hacen con las fechas de sus próximos viajes.
lightbulb La fuga de los aeropuertos en cuatro datos
local_airport El 27 de agosto: la confirmación de MAG
Todo empezó el 27 de agosto, cuando Manchester Airports Group confirmó que un tercero no autorizado había robado datos de sus clientes. La información afectaba a los tres aeropuertos que opera el grupo y procedía de cuatro fuentes: reservas de parking, reservas de salas vip (lounge), registros del servicio de pistas rápidas (Fast Track) y las inscripciones en el wifi del aeropuerto. Para el sector, el volumen colocó de inmediato el incidente en la primera línea: la prensa británica —BBC, The Guardian y Financial Times entre otras— lo trató el mismo día como una de las mayores brechas del año en infraestructura crítica.
El detalle del wifi no es menor: registrar el acceso a la red de un aeropuerto implica capturar el correo electrónico del viajero, y en muchos casos su consentimiento explícito para comunicaciones. Es un dato que el viajero da sin pensar y que, acumulado durante años, dibuja un mapa completo de quién viaja, con qué frecuencia y hacia dónde.
play_arrow
dns Cómo cayeron los aeropuertos: una credencial de API en el JavaScript del sitio
FulcrumSec se atribuyó el ataque el 30 de agosto, con una explicación técnica que el equipo de BleepingComputer aceptó y contrastó. Según el grupo, el acceso se logró mediante credenciales de la plataforma Iterable —el servicio de marketing y mensajería de los aeropuertos— expuestas en el código JavaScript del cliente, es decir, en el propio navegador de cualquiera que visitara la web. Una API de marketing con permisos de lectura sobre la base de clientes, servida en claro, es para un atacante lo que una llave maestra bajo la alfombra.
El botín incluye un export de clientes de Manchester de unos 21,5 GB con perfiles consolidados: identificadores combinados con el historial de reservas y las clasificaciones de marketing. Y un bloque especialmente delicado: cerca de 200.000 registros vinculados a viajes programados para lo que resta de 2026, con fechas, horas y datos de reserva asociados a la identidad de la persona. BleepingComputer llegó a validar uno de los registros comparándolo con la historia de compras real de un viajero en Manchester: cuadre exacto en compras de Fast Track, terminales, importes y referencias. El grupo incluso documentó la intención de publicar el material y un informe técnico de la intrusión.
| Tipo de dato robado | Detalle | Por qué importa |
|---|---|---|
| Reservas de parking | Historial de aparcamientos y salidas | Patrón de movimiento y fechas de ausencia |
| Salas vip (lounge) | Reservas y usos | Frecuencia y perfil de viaje del cliente |
| Fast Track | Compras, terminales, importes, referencias | Datos de vuelo concretos, validados por la prensa |
| Registro en wifi del aeropuerto | Correos electrónicos de usuarios | Identificación masiva de viajeros por años |
| Viajes futuros | ~200.000 registros de 2026 con fechas y horas | Radar social: se anticipa tu próximo viaje |
gavel Sin pago, fuga total: 86 GB en la red
El guiño de la negociación llegó a su punto más tenso a principios de semana. SecurityWeek ha informado que, después de que MAG se negara a pagar el rescate, FulcrumSec ha liberado el material completo: la cifra de afectados se ha elevado de 8,7 a 8,8 millones de personas. La historia sigue la lógica clásica del "doble rescate" —robar, pedir, y publicar si no hay pago—, pero con un matiz que el sector lleva tiempo discutiendo: la negativa no evita la fuga, solo cambia su cronología y su alcance.
warning Qué hacer si pasaste por estos aeropuertos
task_alt Tu próxima fecha de viaje, ahora pública
La fuga de los aeropuertos británicos no es solo un número: es una colección de planes de vida. Quien ha volado por Manchester, Stansted o East Midlands en los últimos meses tiene, en un servidor de la dark web, su calendario de ausencias: cuándo viaja, con qué frecuencia, por qué terminal. Es el tipo de dato que convierte a un cliente en un perfil explotable durante años. La lección técnica es vieja —una credencial de API expuesta en JavaScript del cliente no debería existir— y la lección de negocio es nueva: el valor de una base de datos de fidelización, en manos equivocadas, es oro negro.
Comparte esta semana con la brecha de Dropbox por el login de Lenovo y con el ataque ejecutado por IA en diez horas: tres incidentes, tres superficies distintas, y una constante: el dato de identidad y comportamiento que damos por concedido es el mismo que, en 2026, ya no necesita ser robado dos veces. ¿Qué dato tuyo, dado con un clic sin pensar, te gustaría que nadie hubiera conservado?
flag El camino a seguir
Para las compañías: auditar las credenciales de servicios de marketing y analítica como si fueran el propio perímetro, y eliminar del código del cliente lo que no debería estarlo. Para el viajero: tratar las fugas como lo que son —un cambio de estado permanente de sus datos— y endurecer lo que sí depende de ellos: contraseñas, phishing y reutilización.
