Et brud, der angiveligt startede med et højreklik
Manchester Airports Group, der driver lufthavnene Manchester, Stansted og East Midlands, offentliggjorde den 27. august 2026, at en database hostet af en tredjepart var blevet kompromitteret. En afpresningsgruppe kaldet FulcrumSec tog ansvaret i de følgende dage og begyndte i starten af september at udgive de stjålne data på sin lækside med en påstand om op til 8,7 millioner kundedata.
Den påståede adgangsmetode er den del af historien, der burde bekymre flere virksomheder end selve tallet. Ifølge dækning fra fagmediet teiss hævder FulcrumSec at have brugt Manchester Airport-specifikke loginoplysninger til Iterable, en marketingautomatiseringsplatform, der lå eksponeret i klient-side JavaScript, den kode der kører i hver besøgendes browser og kan inspiceres af alle, der åbner udviklerværktøjerne. MAG har ikke bekræftet denne version af adgangen og oplyser blot, at man arbejder med specialistrådgivere, så vektoren selv indtil videre er en påstand og ikke en fastslået kendsgerning.
Hvad der angiveligt blev taget, og hvad MAG siger ikke blev det
De data, FulcrumSec hævder at besidde, omfatter e-mailadresser, telefonnumre, postnumre og nummerplader knyttet til parkerings-, lounge- og Fast Track-bookinger samt tilmeldinger via lufthavnens wifi, plus næsten 200.000 data om kommende rejser resten af 2026 med datoer, tider og bookingdetaljer. SecurityWeek vurderer mængden til omkring 86 gigabyte.
MAGs egen offentlige udmelding er snævrere og mere forsigtig end afpresningsgruppens påstande: selskabet siger, at de berørte systemer ikke indeholdt bank- eller betalingsoplysninger, at lufthavnsdriften og parkeringstjenesterne fortsatte normalt hele vejen igennem, og at man modtog et løsesumkrav, som man ikke ønsker at uddybe yderligere, herunder om der er betalt. Den kløft mellem en angribers pral og en virksomheds bekræftede fakta er normal i en igangværende afpresningssag, og netop derfor tæller vektoren mere end tallet, indtil MAG siger andet.
Påstanden over for bekræftelsen
| Detalje | FulcrumSecs påstand | MAGs offentlige udmelding |
|---|---|---|
| Berørte data | op til 8,7 millioner | ikke officielt bekræftet |
| Datamængde | omkring 86 gigabyte | ikke bekræftet |
| Angrebsvektor | Iterable API-nøgle eksponeret i frontend-JavaScript | ikke bekræftet |
| Bank- eller betalingsoplysninger | ikke hævdet inkluderet | bekræftet ikke eksponeret |
| Løsesum betalt | ikke oplyst | krav modtaget, ingen yderligere detaljer givet |
Uanset hvad de endelige, bekræftede tal viser sig at være, er den sårbarhedstype, FulcrumSec beskriver, udbredt og sjældent efterprøvet: et marketing- eller analyseværktøj, der kræver et stykke JavaScript på hver side, leverer ofte nøglen direkte indbygget i det stykke kode, fordi det er den hurtigste måde for et marketingteam at få en kampagne live. Er den nøgle et fuldt adgangsberettiget loginoplysning i stedet for én begrænset til en snæver, kun-skrivende, offentligt sikker rettighed, har alle, der ser sidens kildekode, den samme nøgle, som marketingteamet bruger internt.
Hvad det betyder for enhver virksomhed, der bruger et marketingværktøj
Den praktiske test koster intet og tager minutter: åbn browserens udviklerværktøjer på jeres egne offentlige sider, søg i de indlæste scripts efter ordene 'key' eller 'token', og spørg den relevante leverandør, Iterable eller andet, om den loginoplysning er beregnet til offentlig klient-side brug, eller om det er den samme nøgle, der styrer kontoen. De fleste marketingplatforme tilbyder netop til dette formål en offentlig, skrive-begrænset nøgle, og løsningen er som regel en supportsag, ikke en genopbygning.
Den sværere rettelse er organisatorisk, ikke teknisk: marketing- og vækstværktøjer bliver ofte tilføjet en hjemmeside af et team, der ejer kampagnen, ikke kodebasen, og de gennemgår sjældent samme sikkerhedstjek som en login- eller betalingsside. Et kvartalsvist tjek af præcis hvilke loginoplysninger der ligger i en sides offentlige JavaScript, ejet i fællesskab af IT og marketing i stedet for antaget at være andres opgave, ville have fanget netop den eksponering, FulcrumSec siger at have fundet.
Servola Journal
Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger det, og de mennesker, det sker for. Servola Journal findes, så det vi lærer, tilhører dem alle.
Ingen betaler os for dette. Ingen reklamer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker for os alle, ikke bør afhænge af, hvem der har råd til at betale for det.
Hvis det gav dig noget i dag, så sig til os, at vi skal blive ved. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste en, og de er det, der holder os i gang.
Læs videre: 8,7 millioner lufthavnsdata lækket i et hack | Frankrig Sætter Pris på Manglende MFA: 500.000 Euro
