O grupo de extorsão FulcrumSec assumiu a autoria do ataque informático ao Manchester Airports Group (MAG), o maior operador aeroportuário do Reino Unido, e afirma ter exfiltrado cerca de 86 GB de dados de clientes dos aeroportos de Manchester, London Stansted e East Midlands. A alegação vai muito além do que a empresa comunicou publicamente a 27 de agosto e levanta uma questão desconfortável para milhões de viajantes: além de endereços de e-mail, o que é que ficou realmente exposto — e o que pode ser feito com isso?
Resposta rápida: O MAG confirmou a 27 de agosto de 2026 um incidente que afetou dados de cerca de 8,7 milhões de clientes, sobretudo endereços de e-mail, números de telefone, matrículas e códigos postais. O grupo FulcrumSec reivindicou o ataque, diz ter roubado cerca de 86 GB e alega ter entrado através de credenciais de API expostas em JavaScript do lado do cliente. Quem usou estacionamento, lounges, Fast Track ou Wi-Fi nestes aeroportos deve assumir que os seus contactos estão em circulação e desconfiar de qualquer mensagem sobre reservas ou pagamentos.
O que o operador aeroportuário admitiu
Na comunicação publicada no seu sítio oficial, o MAG explica que foi alvo de um incidente de cibersegurança por um terceiro não autorizado, que obteve dados de clientes relativos a reservas de estacionamento, lounge e Fast Track e a registos de Wi-Fi nos aeroportos de Manchester, Stansted e East Midlands, acrescentando que conteve imediatamente o risco e recorreu a consultores especializados. A empresa sublinha ainda que nem o MAG nem o sistema acedido guardam dados bancários ou de pagamento dos clientes, e que a informação acedida inclui endereços de e-mail, números de telefone, matrículas de veículos e códigos postais.
A dimensão foi confirmada pelo próprio operador: o MAG indicou que os dados afetados dizem respeito a 8,7 milhões de clientes. Ao The Register, um porta-voz precisou que a maioria desses clientes teve apenas o endereço de e-mail comprometido e que nem todas as categorias de dados foram afetadas para todos os clientes. Segundo o relato da Security Affairs, o MAG tomou conhecimento do incidente na terça-feira, 25 de agosto, depois de os atacantes terem comprometido o sistema durante o fim de semana.
Do lado operacional, a empresa foi taxativa: em nenhum momento a segurança dos passageiros ou a segurança da aviação foram comprometidas, não houve perturbação operacional e os serviços de estacionamento continuaram a funcionar normalmente. Ainda assim, o MAG suspendeu temporariamente, por precaução, o serviço online “Manage My Booking”, mantendo válidas todas as reservas e encaminhando para o apoio ao cliente quem precisasse de alterar reservas com menos de 72 horas.
A versão do FulcrumSec: 86 GB e reservas futuras
Foi o BleepingComputer que noticiou a reivindicação. Segundo essa publicação, a violação de dados do MAG foi reclamada pelo grupo de extorsão FulcrumSec, que afirmou ter roubado aproximadamente 86 GB de dados, com amostras analisadas pela redação a conterem informação coerente com a divulgação do MAG mas a indicar dados de clientes, reservas e viagens bastante mais detalhados do que o inicialmente revelado. O grupo assumiu a responsabilidade por e-mail e partilhou amostras dos dados alegadamente roubados como prova, incluindo uma exportação de cerca de 21,5 GB de clientes de Manchester com perfis consolidados que combinavam identificadores com histórico de reservas e classificações de marketing.
O ponto mais sensível é o vetor de acesso alegado. O grupo afirma ter obtido acesso através de credenciais de API da plataforma Iterable, específicas de cada aeroporto e expostas em JavaScript do lado do cliente, e sustenta que o material roubado inclui perto de 200 mil registos relativos a viagens marcadas para o resto de 2026, com datas, horas e dados de reserva associados a informação pessoal identificável; diz ainda que tenciona publicar os dados e um relato técnico da intrusão. Esse tipo de código corre no navegador dos utilizadores, pelo que qualquer pessoa que inspecionasse o site com ferramentas de programador poderia, em teoria, ver essas credenciais.
A verificação é parcial e convém dizê-lo com clareza: o BleepingComputer confirmou a autenticidade de um registo de amostra cruzando-o com o histórico de compras conhecido de um viajante, mas não conseguiu verificar de forma independente o âmbito total do conjunto de dados nem o número de 200 mil registos. Questionado, o MAG não respondeu diretamente às alegações específicas do FulcrumSec, remetendo para o comunicado já existente e para o facto de os clientes afetados com reservas futuras já terem sido contactados.
| Data (2026) | Acontecimento |
|---|---|
| Fim de semana de 22-24 de agosto | Comprometimento do sistema, segundo o relato citado |
| 25 de agosto | MAG toma conhecimento do incidente |
| 27 de agosto | Divulgação pública; notificação ao ICO e ao NCSC; suspensão do “Manage My Booking” |
| 30 de agosto | FulcrumSec reivindica o ataque e fala em ~86 GB e ~200 mil registos de viagens futuras |
Quem é o FulcrumSec
O grupo não é um operador clássico de ransomware. De acordo com a análise da Sysdig, o FulcrumSec é um grupo com motivação financeira que visa empresas nativas da cloud para roubar dados sensíveis e depois extorquir a vítima, vendendo a informação se as exigências não forem satisfeitas, sem qualquer cifra ou disrupção — um modelo que o próprio grupo designa por “steal and squeeze”; também conhecido por “The Threat Thespians”, está ativo pelo menos desde setembro de 2025 e reclamou cerca de 25 vítimas em 11 países. A empresa de resposta a incidentes MOXFIVE descreve táticas agressivas: o grupo monitoriza as comunicações das vítimas, contraria diretamente declarações públicas, já nomeou executivos publicamente e publica dados rapidamente quando as organizações não cooperam. E acrescenta que o próprio grupo, na sua página de campanha, descreve os seus métodos, referindo que quando não explora vulnerabilidades por corrigir se foca em organizações que deixaram dados expostos por más configurações básicas.
Este padrão — chaves de API não rodadas, permissões cloud mal configuradas, segredos deixados em código acessível — é o denominador comum de vários casos que lhe são atribuídos, entre eles a fintech australiana youX e a LexisNexis. Trata-se de falhas de higiene básica, não de exploração exótica, o que torna o incidente particularmente instrutivo para qualquer organização que exponha portais de reservas ou plataformas de marketing.
Duas narrativas, o mesmo risco para o viajante
| Aspeto | Versão do MAG | Alegação do FulcrumSec |
|---|---|---|
| Volume | Dados de ~8,7 milhões de clientes | ~86 GB, incluindo exportação de ~21,5 GB |
| Tipo de dados | E-mails, telefones, matrículas, códigos postais | Perfis consolidados, histórico de reservas e classificações de marketing |
| Viagens futuras | Clientes com reservas futuras contactados | ~200 mil registos de viagens até ao final de 2026 |
| Dados de pagamento | Não existiam nos sistemas acedidos | Não reivindicados publicamente |
Mesmo na versão mais conservadora, o risco é de engenharia social. O MAG contactou por e-mail os clientes afetados e pede vigilância perante e-mails, SMS e chamadas suspeitas, aconselhando a não clicar em ligações nem abrir anexos de comunicações inesperadas. A combinação de e-mail, telefone, matrícula, código postal e — se a alegação se confirmar — data e hora de uma viagem futura permite construir mensagens de phishing e smishing altamente credíveis, do género “atualize o pagamento do seu estacionamento” ou “confirme o seu Fast Track”.
O que fazer se usou estes aeroportos
- Não clicar em ligações de mensagens sobre reservas; aceder sempre pelo site oficial escrito manualmente no navegador.
- Desconfiar de chamadas que peçam confirmação de dados ou pagamentos, mesmo que citem a matrícula ou a data da viagem.
- Ativar autenticação multifator no e-mail usado nas reservas e mudar a palavra-passe se for reutilizada noutros serviços.
- Vigiar movimentos em cartões usados em plataformas de viagens, ainda que o operador afirme que não houve exposição de dados de pagamento.
Porque é que isto importa em Portugal
Milhões de portugueses passam por Manchester, Stansted e East Midlands, e o registo numa rede Wi-Fi de aeroporto ou uma reserva de estacionamento bastam para figurar num conjunto de dados destes. Para quem tenha recebido notificação, aplicam-se os mesmos cuidados: as reclamações e queixas relativas a tratamento de dados de residentes na UE podem ser dirigidas à autoridade de controlo competente, e o RGPD continua a aplicar-se a operadores estrangeiros que tratem dados de titulares na União. No Reino Unido, o ICO confirmou ter recebido a notificação de violação do MAG e estar a avaliar a informação prestada.
Para as organizações nacionais, a lição é regulatória e técnica ao mesmo tempo. Os operadores de transporte aéreo e os gestores de infraestruturas aeroportuárias estão entre os setores de importância crítica abrangidos pelo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a NIS2, diploma que torna a cibersegurança uma obrigação direta dos órgãos de gestão, com responsabilização pessoal por dolo ou culpa grave e que reforça o CNCS como autoridade nacional, complementado por autoridades de supervisão setoriais. Um incidente com este perfil, num operador português abrangido, obrigaria a notificação ao CNCS/CERT.PT nos prazos legais e, cumulativamente, à notificação à CNPD e aos titulares dos dados ao abrigo do RGPD.
Para PME e equipas técnicas, o alerta prático é ainda mais simples: auditar o que sai para o navegador. Chaves de API em JavaScript do lado do cliente, tokens não rodados e permissões excessivas em plataformas de marketing automation e CRM são hoje um vetor de entrada preferencial. Rotação regular de credenciais, princípio do menor privilégio, segredos fora do código-fonte, monitorização de chamadas anómalas à API e limites de taxa por chave são medidas de baixo custo que evitam exatamente o tipo de exfiltração massiva alegada neste caso.
Perguntas frequentes
Que dados foram expostos no incidente do Manchester Airports Group?
Segundo o operador, os dados acedidos incluem endereços de e-mail, números de telefone, matrículas de veículos e códigos postais, associados a reservas de estacionamento, lounge e Fast Track e a registos de Wi-Fi nos aeroportos de Manchester, Stansted e East Midlands. O MAG afirma que nem a empresa nem o sistema acedido guardam dados bancários ou de pagamento.
A alegação dos 86 GB do FulcrumSec está confirmada?
Não na totalidade. O BleepingComputer validou um registo de amostra contra o histórico real de um viajante, mas não conseguiu verificar de forma independente o volume total nem o número de cerca de 200 mil registos de viagens futuras. O MAG não comentou diretamente as alegações específicas do grupo.
O que devo fazer se voei a partir destes aeroportos?
Assuma que o seu e-mail e telefone podem estar em circulação. Não clique em ligações de mensagens sobre reservas ou pagamentos, aceda sempre ao site oficial diretamente, ative autenticação multifator no e-mail e vigie movimentos nos cartões usados em plataformas de viagens.
Que lições retira uma empresa portuguesa deste caso?
Que credenciais expostas em código enviado ao navegador e chaves de API sem rotação podem custar milhões de registos. Rotação de segredos, menor privilégio, monitorização de chamadas anómalas à API e planos de notificação prontos para o CNCS e para a CNPD são medidas essenciais, sobretudo para entidades abrangidas pelo novo Regime Jurídico da Cibersegurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Manchester Airports Group, pelo Information Commissioner’s Office e por investigadores de segurança, bem como em alegações do grupo FulcrumSec ainda não verificadas na totalidade.