Zu dem Material gehört laut BleepingComputer ein rund 21,5 GB großer Kundenexport aus Manchester mit zusammengeführten Profilen, die Kundenkennungen mit historischer Buchungsaktivität und Marketing-Klassifizierungen verknüpfen. FulcrumSec gibt an, den Zugang über flughafenspezifische Iterable-API-Zugangsdaten erlangt zu haben, die in clientseitigem JavaScript offenlagen.
Besonders heikel: Die Gruppe behauptet, knapp 200.000 Datensätze zu bevorstehenden Reisen im weiteren Verlauf des Jahres 2026 zu besitzen, samt Daten, Uhrzeiten und Buchungsinformationen, die mit personenbezogenen Angaben verknüpft sind. FulcrumSec kündigte an, die Daten sowie einen technischen Bericht zum Einbruch veröffentlichen zu wollen, erwägt jedoch nach eigenen Angaben, genau diese Reisedatensätze zurückzuhalten oder zu schwärzen – wegen des Potenzials für „Schaden in der realen Welt".
BleepingComputer stuft die Stichproben als authentisch ein, konnte aber die angegebene Zugangsquelle, den Umfang des Zugriffs, die Gesamtgröße des Datensatzes sowie die Angabe zu den rund 200.000 Reisedatensätzen nicht unabhängig überprüfen. Nach Abschluss der Prüfung habe man das übermittelte Material sicher gelöscht und werde nichts davon veröffentlichen oder weitergeben.
Über die von MAG genannten E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen hinaus enthielten die geprüften Datensätze Kauf- und Buchungsreferenzen, Flughafen- und Produktauswahl, Preise, Rabatte, Buchungsstatus, Parkdaten und -zeiten, historische Ausgaben, IP-Adressen, ungefähre Standorte, Geräteinformationen sowie Daten zur Kundeninteraktion. Zahlungskarten- oder Bankkontodaten fanden sich in den Stichproben nicht.
Anders als US-amerikanische ZIP-Codes, die meist größere Zustellgebiete abdecken, grenzt ein vollständiger britischer Postcode eine kleine Gruppe benachbarter Grundstücke ein. Laut dem britischen Office for National Statistics umfasst ein typischer Postcode für Kleinnutzer etwa 15 Adressen, manche sind sogar einer einzigen Adresse zugeordnet. In Kombination mit Kontakt-, Fahrzeug- und Reisedaten lassen sich damit überzeugende Phishing-Mails, SMS oder Anrufe im Namen von MAG oder eines Buchungsanbieters konstruieren, in denen Flughafen, Fahrzeug, Parkzeitraum oder gebuchte Leistungen konkret benannt werden.
MAG erklärte, alle Betroffenen kontaktiert und zur Wachsamkeit gegenüber verdächtigen E-Mails, Textnachrichten und Anrufen aufgerufen zu haben. Der Betreiber betonte, Kundinnen und Kunden niemals unaufgefordert nach Kartendaten, Bankverbindungen oder Passwörtern zu fragen. Auf die konkreten Behauptungen von FulcrumSec zu den 86 GB, den offengelegten Zugangsdaten und den künftigen Reisedaten ging ein Sprecher nicht ein, sondern verwies auf eine aktualisierte Stellungnahme: „MAG ist zuversichtlich, dass wir wirksame Maßnahmen zum Schutz unserer Kunden ergriffen haben, und wir haben alle Betroffenen kontaktiert, einschließlich all jener mit bevorstehenden Buchungen, um sie über zusätzliche Unterstützung zu informieren."
Die Angreifer sollen ein Lösegeld gefordert haben, das MAG dem Vernehmen nach nicht zahlte. Der Flugbetrieb wurde nicht gestört; Passagiersicherheit und Luftsicherheit seien nach Unternehmensangaben nicht beeinträchtigt worden.
FulcrumSec ist eine finanziell motivierte Erpressergruppe, die seit 2025 aktiv ist und sensible Unternehmensdaten stiehlt, um mit deren Veröffentlichung zu drohen, statt Systeme zu verschlüsseln. Zuvor beanspruchte die Gruppe unter anderem Angriffe auf LexisNexis, Novo Nordisk, Global Schools Group und Avnet.