MAG confirma vazamento: 8,7 mi de viajantes, resgate recusado

A MAG é o maior operador aeroportuário de capital britânico, controlando Manchester, London Stansted e East Midlands. Tem participação majoritária dos dez conselhos municipais da Grande Manchester (Manchester City Council detém 35,5%) e do fundo australiano IFM Investors (35,5%). No ano 2024-25, o grupo processou 64 milhões de passageiros. A dimensão pública da propriedade acrescenta pressão política à resposta.

O que a MAG admite: acesso não autorizado a dados de clientes vinculados a reservas de estacionamento, lounge e Fast Track, além de cadastros de Wi-Fi nos três aeroportos. Os tipos de dado comprometidos são e-mail, telefone, placa de veículo e CEP. A empresa afirma que nem ela nem o sistema afetado armazenavam dados bancários ou de pagamento. Operações, segurança da aviação e integridade de voos não foram afetadas. A MAG diz ter contido o risco imediatamente e acionado especialistas externos.

O que a mídia regional e declarações privadas acrescentam: o número de 8,7 milhões de registros foi comunicado pela MAG à BBC e à ITV, não em comunicado público formal. A ITV News reportou diretamente que hackers exigiram resgate, que foi recusado. O valor não foi divulgado. O BleepingComputer registrou variante de até 8,9 milhões, citada em 'declarações privadas da MAG', sem conseguir confirmação independente. Essa divergência entre os números (8,7 mi vs. até 8,9 mi) é pequena e provavelmente reflete metodologias de contagem distintas ou arredondamento — não sugere fraude narrativa.

O que permanece não confirmado: o vetor de entrada. Analistas apontam para cadeia de suprimentos de TI — um sistema compartilhado de terceiro que servia simultaneamente os três aeroportos para Wi-Fi, estacionamento e reservas. Isso explicaria por que o breach afetou os três aeroportos ao mesmo tempo sem interromper operações. A MAG não identificou publicamente qual fornecedor ou plataforma foi comprometida. Sem essa informação, não é possível avaliar a extensão real do comprometimento nem saber se outros clientes do mesmo fornecedor estão em risco.

O que não há: nenhum grupo reivindicou o ataque em fóruns de ransomware ou extorsão até o momento desta análise. A ausência de reivindicação pública após a recusa do resgate é incomum — grupos de extorsão tipicamente publicam os dados como represália. Isso pode indicar que as negociações ainda estão em curso, que o grupo prefere uma abordagem discreta, ou que há algum fator que inibe a publicação. Vale monitorar fóruns relevantes nas próximas 72 horas.

A tensão narrativa central: a MAG comunicou o número de afetados à mídia regional antes de publicá-lo formalmente. Isso pode ser lido como transparência proativa ou como gestão de crise — liberar o número pelo canal menos formal para testar a reação pública antes do comunicado oficial. O fato de o governo britânico ter emitido declaração de resposta no mesmo dia sugere que houve coordenação prévia com autoridades, o que é positivo do ponto de vista regulatório mas também pode indicar que a dimensão política do caso (propriedade municipal) acelerou o ciclo de divulgação.

Aproximadamente 8,7 milhões de clientes de três aeroportos britânicos tiveram e-mails, telefones, placas de veículo e CEPs expostos — sem dados de pagamento. A maioria dos afetados teve apenas e-mails comprometidos (dados do The Register, citando porta-voz da MAG). O risco imediato e concreto é phishing e smishing contextualizados: o atacante sabe que a vítima usou estacionamento, lounge ou Wi-Fi em determinado aeroporto, o que torna comunicações fraudulentas mais convincentes. A placa de veículo combinada com e-mail e telefone também viabiliza abordagens de fraude fora do ambiente digital. O serviço 'Manage My Booking' foi suspenso temporariamente como precaução. Reservas existentes permanecem válidas. O ICO está avaliando a notificação — eventual sanção seguiria o regime do UK GDPR (teto de £17,5 milhões ou 4% do faturamento global). Ações coletivas já estão sendo articuladas no Reino Unido.