Ende August 2028 ist ein Hack der Manchester Airports Group publik geworden. Cyberkriminelle haben die Woche die persönlichen Daten von 8,7 Millionen Menschen, die irgendwie über Flughäfen dieser Gruppe unterwegs waren, veröffentlicht. Nun kommt heraus, dass unglaublicher Sicherheits-Pfusch (API-Keys im JavaScript-Code der Webseiten) den Hack ermöglichte.
Das Manchester Airports Group-Leck
Die Manchester Airports Group (MAG) hatte am 27. August 2026 einen Cybervorfall bekannt gegeben. Es hieß, dass die Manchester Airports Group Opfer eines Sicherheitsvorfalls in den IT-Systemen geworden sei. Durch einen unbefugten Dritten sei eine bestimmte Menge an Kundendaten erbeutet worden. Es handelt sich um Daten, die sich auf Buchungen für Parkplätze, Lounges und Fast-Track-Zugänge sowie auf WLAN-Anmeldungen an den Flughäfen Manchester, Stansted und East Midlands beziehen.
Zu den Daten, auf die zugegriffen wurde, gehören E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen der Kunden. Der unbekannte Dritte habe keinen Zugriff auf die Bank- oder Zahlungsdaten der Kunden. Der Betrieb der Flughäfen oder Systeme sei nicht eingeschränkt gewesen.
Die Manchester Airports Group (MAG) gibt an, den Hack eingedämmt und die Behörden über den potentiellen Datenabfluss informiert zu haben. Ich hatte die Information über den Hack bei den Kollegen von Bleeping Computer gesehen, das Thema hier im Blog aber nicht aufgegriffen.
Datenleck mit 8,7 Millionen Kundendaten
Zum 2. September 2026 gab es dann die Meldung der BBC und weiterer Medien, die berichteten, dass Cyberkriminelle die Manchester Airports Group (MAG) zur Zahlung von Lösegeld zwingen wollten und mit Veröffentlichung der Daten drohten. Da die Gruppe nicht zahlte, wurden die Daten dann Anfang September 2026 veröffentlicht.
Die BBC ist recht zurückhaltend mit Details, aber die Kollegen von Bleeping Computer nennen Einzelheiten. Die Cybergruppe FulcrumSec habe die Verantwortung für den Hack übernommen und gebe an, 640 GB an Daten abgezogen zu haben. Die Gruppe habe damit begonnen, Daten auf ihrer Leak-Seite zu veröffentlichen.
FulcrumSec ist eine finanziell motivierte Cybergruppe, die sich auf Hacks und Datenklau samt Erpressung spezifiziert hat. Die Gruppe hatte im Juni 2026 Daten zu Arzneimitteln etc. beim Ozempic-Hersteller Novo Nordisk gestohlen (siehe). Zudem ist die Gruppe für den Hack von LexisNexis verantwortlich (siehe Sicherheitsvorfälle bei kirstein.de und AsGoodAsNew).
Bleeping Computer hat einen 21,5 GB großen Datensatz erhalten und konnte durch einen Abgleich mit der bekannten Kaufhistorie eines Reisenden am Flughafen Manchester die Gültigkeit der Daten verifizieren. Der Datensatz enthielt genaue Angaben zu früheren „Fast Track"-Käufen, Buchungs- und geplanten Ankunftszeiten, dem genutzten Terminal, den gezahlten Beträgen, Kaufreferenzen, den Gesamtausgaben und dem offensichtlichen Zweck der Reisen.
Bleeping Computer schreibt aber, dass man weder die angebliche Quelle noch den Umfang des Zugriffs des Angreifers, die Gesamtgröße des gestohlenen Datensatzes noch die Behauptung bezüglich der fast 200.000 Datensätze zu bevorstehenden Reisen unabhängig überprüfen.
Sicherheits-Pfusch ermöglichte den Hack
Die oben verlinkten Quellen lassen nichts darüber verlauten, wie der Hack passieren konnte. Neben Social Engineering-Angriffen, bei denen Cyberkriminelle einen Mitarbeiter übertölpeln, Zugangsdaten für ein Benutzerkonto rauszugeben, gibt es noch andere Angriffspfade. Spontan denken die meisten Leute an bekannte, aber ungepatchte Schwachstellen in IT-Systemen.
Ein weiteres Einfall-Tor sind fest in einer Software verankerte Zugangsdaten, die durch Zufall bekannt wurden. Auch Credential Stuffing Angriffe auf Konten, bei denen Benutzernamen und Passwort-Kombinationen durchprobiert werden, sind ein Angriffsvektor.
In letzter Zeit kommt aber, KI seit Dank, ein weiteres Problem hinzu: Die API-Keys oder Zugangsdaten werden einfach mit Repositories oder im Code von Webseiten durch die Entwickler geleaked.
Zum 1. September 2026 ist mir der obige Tweet mit interessanten Insights untergekommen. Die Cybergruppe hat offen gelegt, wie der Zugriff auf die IT-System gelingen konnte und schrieb, dass das schon "tragisch komisch" sei. Hier ein Auszug der Verlautbarung der Angreifer:
Unfortunately for them, MAG made zero effort to protect all their data they'd been collecting. The way we gained access was so simple it is tragi-comical:
Iterable admin keys in the frontend JavaScript of each of its three airports' websites: manchesterairport.co.uk, stanstedairport.com, and eastmidlandsairport.com. Each site had its own key hardcoded into it that provided access to millions of passengers who had passed through that airport.
That means for this breach to have occurred at the scale it did, MAG had to make a catastrophic security mistake not once, not twice, but THREE times.
But it gets worse. These keys were not found on some obscure subdomain, as was the case with the credentials that led to our breaches of Arup Group and Novo Nordisk. All three of these were on the sites' root domain. No subdomain enumeration or url crawling necessary; any of the millions of visitors to the site could have right-clicked 'inspect' and seen the keys just sitting there, plain as day. On all three websites.
Of the many failings of basic security we have encountered, this ranks quite highly in the 'incompetence' and 'negligence' categories. These exposed keys gave us access to the following: […]
In Kurzform: Die Entwickler der Webseiten haben die API-Keys, die Zugriff auf die erbeuteten Daten ermöglicht, offen in JavaScript-Code auf den Webseiten aller drei Flughäfen eingefügt. Ein gefundenes Fressen für AI-Bots, die so etwas abgrasen können – und die Eintrittskarte für FulcrumSec, um die Daten abzugreifen. In der Verlautbarung der Cybergruppe heißt es auch, dass der Hack bei Novo Nordisk durch Credentials im Web möglich war.
Das dürfte zukünftig der Angriffsvektor schlechthin für Cyberkriminelle und AI-Bots werden. Dann immer mehr Projekte werden mit AI-Unterstützung sowie per Vibe-Coding auf die Schnelle gezimmert. Und da dürften API-Keys oder Zugangsdaten in Repositories und Webseiten wandern.
MVP: 2013 – 2016
