Uma violação que terá começado com um clique com o botão direito
A Manchester Airports Group, que gere os aeroportos de Manchester, Stansted e East Midlands, divulgou a 27 de agosto de 2026 que uma base de dados alojada por terceiros tinha sido comprometida. Um grupo de extorsão chamado FulcrumSec assumiu a autoria nos dias seguintes e começou, no início de setembro, a publicar os dados roubados no seu site de fugas, alegando deter até 8,7 milhões de registos de clientes.
O método de acesso alegado é a parte desta história que deveria preocupar mais empresas do que o próprio número. Segundo reportagem do meio especializado teiss, a FulcrumSec afirma ter usado credenciais específicas do Manchester Airport para a Iterable, uma plataforma de automação de marketing, expostas em JavaScript do lado do cliente, o código que corre no navegador de cada visitante e que qualquer pessoa pode inspecionar ao abrir as ferramentas de programador. A MAG não confirmou esta versão do acesso obtido, dizendo apenas que trabalha com consultores especializados, pelo que o próprio vetor continua a ser uma alegação, não um facto estabelecido.
O que terá sido roubado, e o que a MAG diz que não foi
Os dados que a FulcrumSec afirma possuir incluem endereços de email, telefones, códigos postais e matrículas ligados a reservas de estacionamento, salas e Fast Track, além de registos de acesso ao wifi do aeroporto, e quase 200 mil registos de viagens futuras para o resto de 2026, com datas, horas e detalhes de reserva. A SecurityWeek estima o volume em cerca de 86 gigabytes.
A declaração pública da MAG é mais restrita e cautelosa do que as alegações do grupo de extorsão: a empresa diz que os sistemas afetados não continham dados bancários ou de pagamento, que as operações do aeroporto e os serviços de estacionamento continuaram a funcionar normalmente, e que recebeu um pedido de resgate sobre o qual se recusa a dar mais detalhes, incluindo se chegou a pagar. Essa distância entre a jactância de um atacante e os factos confirmados por uma empresa é normal num caso de extorsão em curso, e é precisamente por isso que o vetor conta mais do que o número enquanto a MAG não confirmar o contrário.
A alegação face à confirmação
| Detalhe | Alegação da FulcrumSec | Declaração pública da MAG |
|---|---|---|
| Registos afetados | até 8,7 milhões | não confirmado oficialmente |
| Volume de dados | cerca de 86 gigabytes | não confirmado |
| Vetor de ataque | chave API da Iterable exposta no JavaScript do frontend | não confirmado |
| Dados bancários ou de pagamento | não alegados como incluídos | confirmado que não foram expostos |
| Resgate pago | não indicado | pedido recebido, sem mais detalhes fornecidos |
Sejam quais forem os números finais confirmados, a classe de vulnerabilidade descrita pela FulcrumSec é comum e raramente auditada: uma ferramenta de marketing ou análise que precisa de um fragmento de JavaScript em cada página costuma trazer a chave API incorporada diretamente nesse fragmento, porque é a forma mais rápida de uma equipa de marketing colocar uma campanha no ar. Se essa chave for uma credencial de acesso total em vez de uma limitada a uma permissão estreita, apenas de escrita e segura para uso público, qualquer pessoa que veja o código-fonte da página fica com a mesma chave usada internamente pela equipa de marketing.
O que isto significa para qualquer empresa que use uma ferramenta de marketing
O teste prático não custa nada e demora minutos: abra as ferramentas de programador do navegador nas suas próprias páginas públicas, procure nos scripts carregados as palavras 'key' ou 'token', e pergunte ao fornecedor em causa, Iterable ou outro, se essa credencial está limitada a uso público do lado do cliente ou se é a mesma chave que controla a conta. A maioria das plataformas de marketing oferece precisamente para este fim uma chave pública, limitada à escrita, e a correção costuma ser um pedido de suporte, não uma reconstrução.
A correção mais difícil é organizacional, não técnica: as ferramentas de marketing e crescimento são frequentemente adicionadas a um site por uma equipa dona da campanha, não da base de código, e raramente passam pela mesma revisão de segurança que uma página de início de sessão ou de pagamento. Uma verificação trimestral de que credenciais exatas estão no JavaScript público de um site, da responsabilidade conjunta de TI e marketing em vez de assumida como tarefa de outra pessoa, teria detetado exatamente a exposição que a FulcrumSec diz ter encontrado.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.
Leia a seguir: 8,7 milhões de dados de aeroportos expostos numa falha | A França Põe Preço na Falta de MFA: 500.000 Euros
