FulcrumSec ruba 86 GB di dati MAG: le chiavi API erano nel JavaScript di

Il 27 agosto 2026 Manchester Airports Group (MAG) ha disclosed un furto di dati cliente. Nella settimana successiva il gruppo di data extortion FulcrumSec ha rivendicato l'operazione, pubblicando ~86 GB di materiali su un leak site e dettagliando un vettore di accesso banale quanto grave: credenziali API della piattaforma di customer engagement Iterable, hardcoded nel JavaScript lato client dei siti web di tutti e tre gli aeroporti del gruppo.

Come funziona l'attacco: il frontend come perimetro dimenticato

Le credenziali API erano incorporate direttamente nel codice JavaScript servito ai browser degli utenti. Secondo la rivendicazione di FulcrumSec, riportata da InfoSecurity Magazine, "tutte e tre le chiavi erano sui root domain del sito... qualsiasi visitatore poteva fare clic destro su 'ispeziona' e vedere le chiavi lì, chiare come il giorno". Questa esposizione non richiede exploit sofisticati: basta visitare la pagina, aprire gli strumenti sviluppatore del browser e leggere il sorgente.

Le chiavi API di Iterable, piattaforma di marketing automation e customer engagement, hanno permesso l'accesso a dataset consolidati che uniscono profili demografici, storico acquisti, eventi di marketing e previsioni comportamentali. Il nucleo tecnico del problema sta nella categoria di accesso: piattaforme di questo tipo sono spesso classificate come "di marketing" e quindi sottoposte a controlli meno stringenti rispetto ai sistemi di pagamento o di gestione operativa, pur contenendo dati altamente sensibili.

Controlli tradizionali come Web Application Firewall (WAF) e Content Security Policy (CSP) non rilevano l'esposizione di secrets nel codice sorgente client-side: il traffico è legittimo, la provenienza è il server ufficiale, il contenuto è JavaScript valido. Il gap è nella fase di deployment e review del codice, non nella protezione perimetrale runtime.

Cosa contengono i dati rubati: profili, prenotazioni e messaggi in chiaro

FulcrumSec ha fornito a BleepingComputer dettagli granulari sulla composizione del dataset. I materiali includerebbero ~8,7 milioni di profili cliente con email, nome, numero di telefono mobile, città, codice postale e indirizzo IP residenziale. A questi si aggiungono ~1,2 miliardi di eventi marketing (invii, aperture, clic), ~2,5 milioni di acquisti storici relativi a servizi aeroportuali (parcheggio, Fast Track, lounge) e ~461.000 SMS con dettagli di prenotazione in chiaro.

Una componente particolarmente sensibile, non verificata indipendentemente, riguarda ~191.000 prenotazioni future con schedule di viaggio, PII dettagliate e dati del veicolo. BleepingComputer riporta una cifra leggermente diversa (~200.000 record relativi a viaggi futuri nel 2026), specificando esplicitamente di non aver potuto confermare questa porzione del claim. La fonte non ha potuto verificare indipendentemente "l'estensione totale dell'accesso o la quantità esatta di dati rubati".

BleepingComputer ha tuttavia validato un record specifico, confrontandolo con lo storico acquisti noto di un viaggiatore reale: i dettagli corrispondevano, confermando l'autenticità almeno parziale dei campioni forniti dal gruppo. Nessuna informazione di pagamento è emersa dai materiali revisionati, in linea con la dichiarazione di MAG.

"These keys were not found on some obscure subdomain... All three of these were on the sites' root domain... any of the millions of visitors to the site could have right-clicked 'inspect' and seen the keys just sitting there, plain as day." — FulcrumSec, citato da InfoSecurity Magazine

La risposta di MAG: rifiuto del riscatto e limiti della disclosure

MAG ha ricevuto una richiesta di riscatto e ha rifiutato di pagare, secondo quanto riporta SecurityWeek. In una dichiarazione citata da BleepingComputer, un portavoce del gruppo ha affermato: "MAG è confidente di aver adottato misure efficaci per proteggere i clienti e ha contattato tutti gli interessati, inclusi quelli con prenotazioni imminenti, per informarli del supporto aggiuntivo disponibile". Il servizio "Manage My Booking" è stato sospeso il 27 agosto.

La disclosure ufficiale di MAG, anch'essa del 27 agosto, ha confermato il furto di dati da prenotazioni parcheggio, lounge, Fast Track e registrazioni Wi-Fi, ma non ha confermato né smentito specificamente il metodo di accesso tramite credenziali Iterable. Il portavoce citato da BleepingComputer ha confermato i ~8,7 milioni di clienti coinvolti, precisando che per la "stragrande maggioranza" sono stati esposti solo indirizzi email. Questa discrepanza tra il claim del gruppo e la conferma ufficiale rimane non risolta: MAG non ha verificato pubblicamente l'estensione completa delle PII dettagliate riferita da FulcrumSec.

Né MAG né le fonti di sicurezza hanno rilevato interruzioni operative o compromissione dei sistemi di sicurezza aerea. Il breach è circoscritto ai dati di customer engagement e marketing.

Chi è FulcrumSec: pattern e precedenti confermati

FulcrumSec è un gruppo di data extortion attivo dal 2025, operante secondo un modello che non prevede la cifratura dei sistemi delle vittime ma si concentra sul furto e sulla minaccia di pubblicazione di dati sensibili. BleepingComputer documenta precedenti attacchi a LexisNexis, Novo Nordisk, Global Schools Group e Avnet, confermando pattern consistenti: infrastruttura AWS, pubblicazione su leak site proprietario, rifiuto delle vittime di pagare il riscatto.

Nel caso MAG, FulcrumSec ha affermato di aver "rimosso le parti più sensibili" prima della pubblicazione sul leak site, aggiungendo: "Purtroppo MAG ha declinato di pagare la somma necessaria per proteggere i dati dei passeggeri, lasciandoci la responsabilità di rimuovere le parti più sensibili... prima della pubblicazione". Questa dichiarazione, riportata da InfoSecurity Magazine, non è verificabile indipendentemente: non emerge dalle fonti disponibili se la rimozione sia effettivamente avvenuta o quali criteri siano stati applicati.

Non emergono sovrapposizioni infrastrutturali che colleghino FulcrumSec a gruppi di ransomware noti o a operatori con attribuzione di stato allo stato attuale. Il dossier non specifica se altri attori o individui possano aver avuto accesso alle stesse credenziali API prima del gruppo.

Perché è importante

Il caso MAG esemplifica un pattern di sicurezza sistematicamente sottovalutato: la classificazione delle piattaforme SaaS di customer engagement come "non critiche" perimetro sicurezza, pur gestendo dati che consentono profilazione estremamente granulare. Una chiave API di Iterable, considerata di "solo lettura" o limitata al marketing, può esfiltrare dataset che combinano movimenti futuri, preferenze di consumo, dati demografici e identificatori persistenti: materiale sufficiente per campagne di phishing personalizzato o, nei casi estremi, targeting fisico.

Il dossier non specifica se figure pubbliche, militari o politici siano presenti nei dati. Non documenta misure correttive specifiche adottate da MAG per la gestione delle credenziali API. Non specifica la natura esatta dei dati veicolo inclusi nei campioni. La timeline precisa dell'intrusione e della scoperta non è dichiarata dalle fonti.

Per i viaggiatori, il rischio immediato non è la compromissione finanziaria — esplicitamente esclusa — ma la precisione dei dati a disposizione di attori malevoli: prenotazioni con date, terminal, servizi acquistati e, secondo la rivendicazione del gruppo, targhe veicolo. Questo profilo consente phishing contestualizzato su viaggi reali, con tassi di conversione tipicamente superiori a campagne generiche.

Per il settore aeroportuale, si tratta del più grande data breach cliente noto di un operatore britannico, misurato in base ai ~8,7 milioni di record confermati. La misura non è il solo volume, ma la combinazione di accuratezza predittiva (prenotazioni future) e completezza profilativa che le piattaforme di engagement marketing consolidano.

Fonti

• https://www.infosecurity-magazine.com/news/fulcrumsec-manchester-airport/
• https://www.bleepingcomputer.com/news/security/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data/
• https://www.securityweek.com/extortion-group-claims-manchester-airports-group-data-breach/
• https://we-fix-pc.com/2026/08/30/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data/
• https://circleid.com/posts/fulcrumsec-claims-86-gb-data-theft-in-manchester-airports-breach
• https://www.bleepingcomputer.com/news/security/manchester-airports-group-says-hackers-stole-travelers-data/
• https://www.bleepingcomputer.com/news/security/lexisnexis-confirms-data-breach-as-hackers-leak-stolen-files/
• https://podcast.securityweek.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti