A Manchester Airports Group (MAG), o maior grupo aeroportuário do Reino Unido, confirmou que um terceiro não autorizado obteve dados de clientes recolhidos através de reservas de estacionamento, lounges e Fast Track e de registos na rede Wi-Fi dos aeroportos de Manchester, Londres Stansted e East Midlands. O comunicado oficial do grupo não avança números, mas fontes de imprensa britânica situam o universo afetado em cerca de 8,7 milhões de clientes. Não houve impacto operacional, nem nos voos nem na segurança aeronáutica — mas o material roubado é, na prática, um manual de instruções para campanhas de phishing altamente credíveis.
Resposta rápida: A Manchester Airports Group admitiu um incidente de cibersegurança que expôs endereços de e-mail, números de telefone, matrículas de veículos e códigos postais de clientes de três aeroportos britânicos. O grupo garante que não detinha dados bancários ou de cartões e que as operações aeroportuárias não foram afetadas. Se reservou estacionamento, lounge ou Fast Track nestes aeroportos, ou se se ligou ao Wi-Fi, parta do princípio de que o seu e-mail circula: desconfie de mensagens sobre reembolsos, reservas ou “problemas” com o seu carro e nunca introduza dados de pagamento a partir de links recebidos.
O que a MAG confirmou (e o que não confirmou)
Na página oficial dedicada ao incidente, o grupo assume que foi alvo de um incidente de cibersegurança por um terceiro não autorizado e que foi obtida uma quantidade de dados de clientes relativa a reservas de parque de estacionamento, lounge e Fast Track e a registos de Wi-Fi nos aeroportos de Manchester, Stansted e East Midlands. A empresa afirma ter contido o risco de imediato, estar a trabalhar com consultores especializados e com as autoridades competentes, e sublinha que em nenhum momento a segurança dos passageiros ou a segurança aeronáutica foram comprometidas, não tendo havido disrupção operacional.
O número de 8,7 milhões não consta do comunicado. A página pública de incidente da MAG não indica qualquer número, referindo-se apenas a “uma quantidade” de dados obtidos por um terceiro não autorizado, e a estimativa de cerca de 8,7 milhões de pessoas foi transmitida por um porta-voz da empresa à imprensa. Trata-se, portanto, de um valor atribuído à MAG e não de um dado publicado oficialmente — uma distinção relevante, até porque parte destes registos poderá corresponder a contactos repetidos ao longo de anos e não a 8,7 milhões de indivíduos distintos.
Que dados foram comprometidos
Os dados acedidos incluem endereços de e-mail, números de telefone, matrículas de veículos e códigos postais dos clientes, tendo a MAG afirmado que nem o grupo nem o sistema afetado detinham dados bancários ou de pagamento. Segundo declarações do grupo a órgãos de comunicação britânicos, a “esmagadora maioria” dos registos comprometidos corresponde a endereços de e-mail recolhidos em registos de Wi-Fi.
| Categoria | Situação |
|---|---|
| Endereço de e-mail | Comprometido |
| Número de telefone | Comprometido |
| Matrícula do veículo | Comprometido |
| Código postal | Comprometido |
| Dados bancários / cartão de pagamento | Não detidos pelo sistema afetado, segundo a MAG |
| Sistemas operacionais aeroportuários | Não afetados, segundo a MAG |
Cronologia conhecida do incidente
| Data (2026) | Acontecimento |
|---|---|
| Fim de semana de 22–23 de agosto | Período em que terá ocorrido o acesso indevido, segundo relatos da imprensa especializada |
| 25 de agosto (terça-feira) | MAG toma conhecimento do acesso não autorizado e restringe o acesso aos sistemas afetados |
| 25–27 de agosto | Envolvimento de especialistas externos e notificação às autoridades |
| 27 de agosto (quinta-feira) | Divulgação pública e envio de e-mails de notificação aos clientes afetados |
| 27–28 de agosto | Regulador britânico de proteção de dados confirma ter recebido a notificação de violação |
Sobre a origem temporal do ataque, a empresa indicou acreditar que os atacantes acederam pela primeira vez aos dados de clientes alguns dias antes de a intrusão ter sido descoberta, tendo procurado conter a violação restringindo o acesso aos sistemas afetados, chamando especialistas externos e notificando as autoridades. O National Cyber Security Centre (NCSC) e o Information Commissioner’s Office (ICO) foram informados, e um porta-voz do ICO confirmou ter recebido o relatório de violação da MAG e estar a avaliar a informação fornecida.
Houve pedido de resgate — e uma recusa
Um elemento que distingue este caso de uma simples exfiltração silenciosa: os atacantes exigiram um resgate, que a empresa afirma não ter pago, sem que o valor tenha sido divulgado. O montante foi reclamado em troca da devolução dos dados e a MAG recusou pagar, de acordo com a BBC News. Até ao momento da redação, nenhum grupo de ransomware ou de extorsão de dados reivindicou publicamente o ataque. Há relatos de que a MAG conheceria a identidade do grupo responsável sem a ter tornado pública, mas essa informação não foi confirmada por fonte primária e deve ser lida com reservas.
Do lado do serviço ao cliente, o impacto foi contido mas visível: todas as reservas futuras permanecem válidas e não é necessária qualquer ação por parte dos clientes, mas o serviço online “Manage My Booking” foi temporariamente suspenso por precaução, sendo os clientes que precisem de alterar reservas nas 72 horas seguintes encaminhados para a linha de apoio.
Sem cartões de crédito, mas com risco real
A ausência de dados de pagamento é frequentemente lida como sinal de que “não foi grave”. É uma leitura errada. Dados de contacto combinados com informação sobre um aeroporto ou serviço de viagem dão aos criminosos contexto suficiente para construir mensagens de phishing convincentes sobre reservas, estacionamento, reembolsos ou problemas de conta; o NCSC britânico avisa que os criminosos exploram rotineiramente informação de violações para tornar e-mails, SMS e chamadas fraudulentas mais legítimos, podendo ainda fazer-se passar pela organização visada e encaminhar as vítimas para páginas falsas de login ou pagamento.
A combinação específica deste conjunto é particularmente potente. Uma mensagem que refere a matrícula correta do carro e o código postal da morada do destinatário derruba quase instantaneamente o ceticismo — e é exatamente esse o padrão de fraude que se espera nas próximas semanas, sob a forma de falsos avisos de multa de estacionamento, reembolsos de parque ou “confirmações” de Fast Track. A própria MAG antecipou o problema: sublinha que nunca pedirá informação de cartão de pagamento, dados bancários ou palavras-passe e recomenda que os clientes rejeitem e reportem às autoridades qualquer tentativa de obter informação pessoal, financeira ou sensível.
O que fazer se viajou por estes aeroportos
- Não clique em links de e-mails ou SMS sobre reservas, reembolsos ou multas de estacionamento. Aceda sempre ao site oficial escrevendo o endereço manualmente.
- Desconfie de chamadas telefónicas que citem a sua matrícula ou o seu código postal como “prova” de legitimidade.
- Ative a autenticação multifator no e-mail e nas contas de viagem, e não reutilize palavras-passe entre serviços.
- Se recebeu uma notificação da MAG, guarde-a: pode ser necessária caso venha a exercer direitos ao abrigo da legislação de proteção de dados.
- Em Portugal, reporte tentativas de burla ao CERT.PT (
[email protected]) e, se houver prejuízo, apresente queixa junto das autoridades competentes.
Porque é que isto importa em Portugal
Milhares de portugueses passam anualmente por Manchester e Stansted — dois dos maiores aeroportos britânicos em volume. Os três aeroportos da MAG movimentaram 66,3 milhões de passageiros no ano até março de 2026, incluindo 32,3 milhões em Manchester, 30 milhões em Londres Stansted e cerca de quatro milhões em East Midlands. Quem se ligou ao Wi-Fi gratuito ou reservou estacionamento online pode figurar nas listas comprometidas, independentemente da nacionalidade.
O caso é também um espelho do que o novo enquadramento legal português exige. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 e que transpõe a Diretiva NIS2, entrou em vigor a 3 de abril de 2026 e aplica-se a entidades essenciais, importantes e públicas relevantes que operam em setores de importância crítica definidos nos Anexos I e II do diploma, entre os quais operadores de transporte aéreo, incluindo gestores de infraestruturas. Ou seja: um incidente equivalente numa infraestrutura aeroportuária nacional obrigaria a notificação ao CNCS/CERT.PT nos prazos legalmente fixados, além do reporte à CNPD ao abrigo do RGPD quando exista risco para os direitos e liberdades dos titulares.
Para as PME portuguesas, a lição é menos sobre aeroportos e mais sobre superfície de recolha de dados. Formulários de Wi-Fi, sistemas de reserva, programas de fidelização e plataformas de terceiros acumulam dados pessoais em silos que raramente entram no inventário de ativos. Vários consultores citados na cobertura do caso apontam precisamente para essa dependência de plataformas operadas por subsidiárias ou fornecedores externos como fator de risco, ainda que não haja, até agora, indicação sobre quem é responsável pela violação nem sobre como ocorreu. Recolher apenas o estritamente necessário, definir prazos de retenção e mapear quem processa o quê continua a ser a mitigação mais barata que existe.
Perguntas frequentes
Que dados foram roubados à Manchester Airports Group?
Segundo a MAG, foram acedidos endereços de e-mail, números de telefone, matrículas de veículos e códigos postais, associados a reservas de estacionamento, lounge e Fast Track e a registos de Wi-Fi nos aeroportos de Manchester, Stansted e East Midlands.
Os dados bancários dos clientes foram comprometidos?
A MAG afirma que nem o grupo nem o sistema afetado detinham dados bancários ou de cartões de pagamento, pelo que essa informação não terá sido acedida. Ainda assim, os dados expostos são suficientes para fraudes convincentes.
A empresa pagou o resgate exigido pelos atacantes?
Não. De acordo com declarações do grupo à imprensa britânica, houve um pedido de resgate em troca da devolução dos dados, que a MAG recusou pagar. O valor exigido não foi divulgado.
Sou português e viajei por Stansted. O que devo fazer?
Assuma que o seu e-mail pode estar exposto, ignore mensagens não solicitadas sobre reservas ou reembolsos, ative a autenticação multifator nas suas contas e reporte tentativas de burla ao CERT.PT através de [email protected].
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Manchester Airports Group, pelo Information Commissioner’s Office e por relatos de imprensa especializada, complementados com o enquadramento legal português do Decreto-Lei n.º 125/2025.