Datalek bij drie Britse luchthavens treft 8,7 miljoen klanten

Manchester Airports Group bevestigt dat criminelen gegevens van ongeveer 8,7 miljoen klanten hebben buitgemaakt uit de systemen achter parkeren, lounges, Fast Track en de terminalwifi van Manchester, Stansted en East Midlands.

Het gaat om e-mailadressen, telefoonnummers, kentekens en postcodes, en bank- of betaalgegevens zaten niet in het getroffen systeem. Voor een Nederlandse organisatie zit het risico niet in de luchthaven maar in het eigen adresboek. Elke medewerker die op doorreis inlogde op de wifi in de terminal of een parkeerplek boekte, kan in dat bestand staan, met het zakelijke e-mailadres dat ook de inlognaam is voor je CRM en je Microsoft 365-omgeving. Vier velden die los onschuldig ogen, vormen samen het materiaal voor een bericht dat gaat over een reservering die iemand echt heeft gemaakt.

Het meeste kwam van een wifi-aanmelding

Bij het overgrote deel van de getroffenen gaat het alleen om een e-mailadres, verzameld tijdens het aanmelden voor de publieke wifi in de terminals, zei MAG tegen The Register. De op een na grootste groep bestaat uit mensen die hun gegevens invulden om parkeren of Fast Track te boeken en die boeking nooit afrondden. Afgeronde boekingen leveren het kleinste deel van de buit. De drie luchthavens verwerkten vorig jaar samen 54 miljoen passagiers, en de aanval valt midden in de zomerdrukte.

De bestanden stonden bij een derde partij

De aanvallers kwamen eerst binnen op een systeem van MAG zelf en haalden de bestanden daarna uit een database die bij een derde partij draait, vertelde het bedrijf aan The Register. Om welk systeem het gaat, maakt MAG niet bekend. De directie noemt het nadrukkelijk een hack en geen nalatigheid: een gerichte aanval, niet een medewerker die inloggegevens weggaf.

Van ransomware was geen sprake. Er zit een afpersingsgroep achter die losgeld eiste voor teruggave van de gegevens, en MAG zegt tegen de BBC dat het niet heeft betaald en het bedrag niet bekendmaakt. De Britse privacytoezichthouder ICO vroeg het bedrijf om de losgeldbrief, de eisen en de naam van de groep niet te delen. Wel zegt MAG dat de eis duidelijk lager lag dan wat deze groep gewoonlijk vraagt.

De gegevens verdwenen in het weekend, MAG merkte het pas dinsdag en informeerde getroffen klanten per e-mail. De ICO bevestigt dat de datalekmelding binnen is en beoordeelt die nu.

Dat tijdpad is precies waar een leverancierslek pijn doet bij de klant in plaats van bij de leverancier. De melding bij de toezichthouder blijft liggen bij de verwerkingsverantwoordelijke, en de termijn van 72 uur begint bij jouw kennisname, niet bij die van je leverancier.

Vier velden zijn genoeg voor een geloofwaardige phishingmail

Een kenteken en een postcode tillen een phishingpoging over de drempel waar mensen normaal op afhaken. De mail die hierop volgt gaat niet over een bank, maar over een parkeerreservering, een terugbetaling of een gewijzigde boeking, met het juiste kenteken erin. MAG waarschuwt zelf dat het klanten nooit onverwacht om betaalkaartgegevens, bankgegevens of wachtwoorden vraagt.

Voor een werkgever zitten daar twee gevolgen aan. Het zakelijke e-mailadres van reizende medewerkers ligt nu bij een afperser die het kan verkopen of zelf kan gebruiken, gekoppeld aan een telefoonnummer voor de sms-variant. En omdat de luchthaven getroffenen zelf per mail benadert, is er meteen een echt bericht om na te bootsen. Een korte interne waarschuwing aan wie via deze drie luchthavens reisde, kost tien minuten en scheelt de eerste klik.

De randdienst als vergeten dataplek

De kernsystemen van de luchthaven lieten niets los. Vluchtafhandeling en beveiliging bleven buiten schot en er was geen operationele verstoring. Wat wel wegliep, zat in de diensten eromheen: parkeren, lounges, Fast Track en het wifi-portaal. Dat zijn de systemen die zelden op een risicokaart staan, omdat ze als faciliteit gelden en niet als applicatie.

Daar komt de bewaartermijn bij. Een flink deel van de buit hoort bij mensen die een boeking begonnen en nooit afmaakten. Zij zijn nooit klant geworden, maar hun gegevens stonden er nog. Een aanmeldformulier is een dataplek, ook als het niet zo voelt: bij Klaviyo stuurde een aanmeldformulier wachtwoorden en klantgegevens naar 31 externe hostnamen.

Randdiensten zijn de ondersteunende systemen rond je primaire proces die wel persoonsgegevens vastleggen maar zelden als applicatie worden beheerd, zonder eigenaar, zonder bewaartermijn en meestal zonder plek in je verwerkingsregister. Dit zijn de plekken waar ze zich in de praktijk ophopen:

• Parkeer- en reserveringsdiensten: kenteken, naam en betaalmoment, vaak bij een externe exploitant.
• Bezoekersregistratie en badgesystemen: naam, bedrijf, telefoonnummer en tijdstip van iedereen die langskwam.
• Wifi-portalen op kantoor en op locatie: e-mailadres of telefoonnummer per apparaat, soms jaren bewaard.
• Evenement-, lounge- en cateringpartners: deelnemerslijsten met functietitels, precies wat een gerichte aanval nodig heeft.
• Formulieren en halve aanvragen in marketingtools: gegevens van mensen die nooit klant werden.

Afpersing had tot voor kort een versleuteld kernsysteem nodig om druk te zetten. Dit incident laat zien dat een lijst contactgegevens uit een parkeer- en wifisysteem daar ook voor volstaat, zolang die lijst groot genoeg is om nieuws te worden. Daarmee verschuift de vraag van hoe goed je kernsysteem op slot zit naar welke gegevens er nog in een randdienst staan, wie die database eigenlijk beheert, en waarom ze er na al die tijd nog staan.