Die Manchester Airports Group betreibt die Flughäfen Manchester, London Stansted und East Midlands. Nach der Offenlegung des Vorfalls durch das Unternehmen hatte dieses erklärt, Angreifer hätten E-Mail-Adressen, Telefonnummern, Fahrzeugkennzeichen und Postleitzahlen erbeutet. Die betroffenen Informationen stammten aus Buchungen für Parkplätze, Lounges und Fast-Track-Produkte sowie aus WLAN-Anmeldungen an den drei Standorten. Der Betrieb der Flughäfen sei zu keinem Zeitpunkt beeinträchtigt gewesen.
MAG teilte weiter mit, dass die gestohlenen Daten in einer bei einem Drittanbieter gehosteten Datenbank lagen und dass eine Lösegeldforderung eingegangen sei. Weitere Details dazu nannte der Betreiber nicht.
Am Wochenende meldete sich die Erpressergruppe FulcrumSec und reklamierte den Angriff für sich. Kurz darauf veröffentlichte sie rund 550 Gigabyte unkomprimierte Daten, die angeblich von MAG stammen. Nach Darstellung der Gruppe enthält der Datenbestand persönliche Informationen von etwa 8,7 Millionen Personen — darunter Namen, E-Mail-Adressen, Telefonnummern, Orts- und Postregionen sowie die privaten IP-Adressen, über die auf die Konten zugegriffen wurde.
Der Benachrichtigungsdienst HaveIBeenPwned hat den Datensatz analysiert und in seine Datenbank übernommen. Demnach sind rund 8,8 Millionen E-Mail-Adressen und Telefonnummern betroffen. Zusätzlich wurden laut HaveIBeenPwned Namen, Angaben zum Browser-Agenten, Käufe und Fahrzeugkennzeichen offengelegt.
FulcrumSec beziffert den Umfang genauer: 2.482.763 Käufe, also Buchungen für Parkplatz-, Lounge- und Fast-Track-Produkte, 461.433 SMS-Nachrichten im Zusammenhang mit Buchungen, Parkplätzen und Fahrzeugregistrierungen sowie 108.077 eindeutige britische Kfz-Kennzeichen. Darüber hinaus behauptet die Gruppe, auch die Konfiguration der MAG-Plattform abgezogen zu haben. SecurityWeek hat die Angaben der Angreifer nicht unabhängig verifiziert.
Zum Einbruchsweg erklärt FulcrumSec, man habe Administrations-Schlüssel genutzt, die offen zugänglich gewesen seien — nach Angaben der Gruppe „im Frontend-JavaScript der Websites aller drei Flughäfen", jeweils in der jeweiligen Root-Domain.
Dass es überhaupt zur Veröffentlichung kam, begründet die Gruppe selbst: FulcrumSec räumt ein, dass MAG das geforderte Lösegeld nicht gezahlt hat.