![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Ende August 2028 ist ein Hack der Manchester Airports Group publik geworden. Cyberkriminelle haben die\u00a0 Woche die pers\u00f6nlichen Daten von 8,7 Millionen Menschen, die irgendwie \u00fcber Flugh\u00e4fen dieser Gruppe unterwegs waren, ver\u00f6ffentlicht. Nun kommt heraus, dass unglaublicher Sicherheits-Pfusch (API-Keys im JavaScript-Code der Webseiten) den Hack erm\u00f6glichte.<\/p>\n
<\/p>\n
Zu den Daten, auf die zugegriffen wurde, geh\u00f6ren E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen der Kunden. Der unbekannte Dritte habe keinen Zugriff auf die Bank- oder Zahlungsdaten der Kunden. Der Betrieb der Flugh\u00e4fen oder Systeme sei nicht eingeschr\u00e4nkt gewesen.<\/p>\n Die Manchester Airports Group (MAG) gibt an, den Hack einged\u00e4mmt und die Beh\u00f6rden \u00fcber den potentiellen Datenabfluss informiert zu haben. Ich hatte die Information \u00fcber den Hack bei den Kollegen von Bleeping Computer gesehen<\/a>, das Thema hier im Blog aber nicht aufgegriffen.<\/p>\n Zum 2. September 2026 gab es dann die Meldung der BBC<\/a> und weiterer Medien, die berichteten, dass Cyberkriminelle die Manchester Airports Group (MAG) zur Zahlung von L\u00f6segeld zwingen wollten und mit Ver\u00f6ffentlichung der Daten drohten. Da die Gruppe nicht zahlte, wurden die Daten dann Anfang September 2026 ver\u00f6ffentlicht.<\/p>\n Die BBC ist recht zur\u00fcckhaltend mit Details, aber die Kollegen von Bleeping Computer nennen Einzelheiten<\/a>. Die Cybergruppe\u00a0FulcrumSec habe die Verantwortung f\u00fcr den Hack \u00fcbernommen und gebe an, 640 GB an Daten abgezogen zu haben. Die Gruppe habe damit begonnen, Daten auf ihrer Leak-Seite zu ver\u00f6ffentlichen.<\/p>\n FulcrumSec<\/a> ist eine finanziell motivierte Cybergruppe, die sich auf Hacks und Datenklau samt Erpressung spezifiziert hat. Die Gruppe hatte im Juni 2026 Daten zu Arzneimitteln etc. beim Ozempic-Hersteller Novo Nordisk gestohlen (siehe<\/a>). Zudem ist die Gruppe f\u00fcr den Hack von LexisNexis\u00a0 verantwortlich (siehe Sicherheitsvorf\u00e4lle bei kirstein.de und AsGoodAsNew<\/a>).<\/p><\/blockquote>\n Bleeping Computer hat einen 21,5 GB gro\u00dfen Datensatz erhalten und konnte durch einen Abgleich mit der bekannten Kaufhistorie eines Reisenden am Flughafen Manchester\u00a0 die G\u00fcltigkeit der Daten verifizieren.\u00a0Der Datensatz enthielt genaue Angaben zu fr\u00fcheren \u201eFast Track\"-K\u00e4ufen, Buchungs- und geplanten Ankunftszeiten, dem genutzten Terminal, den gezahlten Betr\u00e4gen, Kaufreferenzen, den Gesamtausgaben und dem offensichtlichen Zweck der Reisen.<\/p>\n Bleeping Computer schreibt aber, dass man weder die angebliche Quelle noch den Umfang des Zugriffs des Angreifers, die Gesamtgr\u00f6\u00dfe des gestohlenen Datensatzes noch die Behauptung bez\u00fcglich der fast 200.000 Datens\u00e4tze zu bevorstehenden Reisen unabh\u00e4ngig \u00fcberpr\u00fcfen.<\/p>\n Die oben verlinkten Quellen lassen nichts dar\u00fcber verlauten, wie der Hack passieren konnte. Neben Social Engineering-Angriffen, bei denen Cyberkriminelle einen Mitarbeiter \u00fcbert\u00f6lpeln, Zugangsdaten f\u00fcr ein Benutzerkonto rauszugeben, gibt es noch andere Angriffspfade. Spontan denken die meisten Leute an bekannte, aber ungepatchte Schwachstellen in IT-Systemen.<\/p>\n Ein weiteres Einfall-Tor sind fest in einer Software verankerte Zugangsdaten, die durch Zufall bekannt wurden. Auch Credential Stuffing Angriffe auf Konten, bei denen Benutzernamen und Passwort-Kombinationen durchprobiert werden, sind ein Angriffsvektor.<\/p>\n In letzter Zeit kommt aber, KI seit Dank, ein weiteres Problem hinzu: Die API-Keys oder Zugangsdaten werden einfach mit Repositories oder im Code von Webseiten durch die Entwickler geleaked.<\/p>\n Zum 1. September 2026 ist mir der obige Tweet<\/a> mit interessanten Insights untergekommen. Die Cybergruppe hat offen gelegt, wie der Zugriff auf die IT-System gelingen konnte und schrieb, dass das schon \"tragisch komisch\" sei. Hier ein Auszug der Verlautbarung der Angreifer:<\/p>\n Unfortunately for them, MAG made zero effort to protect all their data they'd been collecting. The way we gained access was so simple it is tragi-comical:<\/p>\n Iterable admin keys in the frontend JavaScript of each of its three airports' websites: manchesterairport.co.uk, stanstedairport.com, and eastmidlandsairport.com. Each site had its own key hardcoded into it that provided access to millions of passengers who had passed through that airport.<\/p>\n That means for this breach to have occurred at the scale it did, MAG had to make a catastrophic security mistake not once, not twice, but THREE times.<\/p>\n But it gets worse. These keys were not found on some obscure subdomain, as was the case with the credentials that led to our breaches of Arup Group and Novo Nordisk. All three of these were on the sites' root domain. No subdomain enumeration or url crawling necessary; any of the millions of visitors to the site could have right-clicked 'inspect' and seen the keys just sitting there, plain as day. On all three websites.<\/p>\n Of the many failings of basic security we have encountered, this ranks quite highly in the 'incompetence' and 'negligence' categories. These exposed keys gave us access to the following: […]<\/p><\/blockquote>\n In Kurzform: Die Entwickler der Webseiten haben die API-Keys, die Zugriff auf die erbeuteten Daten erm\u00f6glicht, offen in JavaScript-Code auf den Webseiten aller drei Flugh\u00e4fen eingef\u00fcgt. Ein gefundenes Fressen f\u00fcr AI-Bots, die so etwas abgrasen k\u00f6nnen – und die Eintrittskarte f\u00fcr FulcrumSec, um die Daten abzugreifen. In der Verlautbarung der Cybergruppe hei\u00dft es auch, dass der Hack bei Novo Nordisk durch Credentials im Web m\u00f6glich war.<\/p>\n Das d\u00fcrfte zuk\u00fcnftig der Angriffsvektor schlechthin f\u00fcr Cyberkriminelle und AI-Bots werden. Dann immer mehr Projekte werden mit AI-Unterst\u00fctzung sowie per Vibe-Coding auf die Schnelle gezimmert. Und da d\u00fcrften API-Keys oder Zugangsdaten in Repositories und Webseiten wandern.<\/p>\n","protected":false},"excerpt":{"rendered":" Ende August 2028 ist ein Hack der Manchester Airports Group publik geworden. Cyberkriminelle haben die\u00a0 Woche die pers\u00f6nlichen Daten von 8,7 Millionen Menschen, die irgendwie \u00fcber Flugh\u00e4fen dieser Gruppe unterwegs waren, ver\u00f6ffentlicht. Nun kommt heraus, dass unglaublicher Sicherheits-Pfusch (API-Keys im … Weiterlesen Die Manchester Airports Group (MAG) hatte am 27. August 2026 einen Cybervorfall bekannt gegeben<\/a>. Es hie\u00df, dass die Manchester Airports Group Opfer eines\u00a0 Sicherheitsvorfalls\u00a0 in den IT-Systemen geworden sei. Durch einen unbefugten Dritten sei eine bestimmte Menge an Kundendaten erbeutet worden. Es handelt sich um Daten, die sich auf Buchungen f\u00fcr Parkpl\u00e4tze, Lounges und Fast-Track-Zug\u00e4nge sowie auf WLAN-Anmeldungen an den Flugh\u00e4fen Manchester, Stansted und East Midlands beziehen.<\/p>\n
Datenleck mit 8,7 Millionen Kundendaten<\/h2>\n
Sicherheits-Pfusch erm\u00f6glichte den Hack<\/h2>\n
![\"Manchester](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/09\/Manchester-Airport-Group-Hack.jpg\")
<\/a><\/p>\n