Χάκερ υπέκλεψαν δεδομένα πελατών από τρία βρετανικά αεροδρόμια

Φαντάσου ένα email που σε ειδοποιεί ότι δικαιούσαι επιστροφή χρημάτων από τη στάθμευση που είχες κλείσει στο αεροδρόμιο. Ξέρει τη σωστή σου διεύθυνση, ίσως αναφέρει και τη σωστή πινακίδα του αυτοκινήτου σου, και σε στέλνει σε μια φόρμα να «επιβεβαιώσεις» την κάρτα σου. Ακριβώς αυτό το είδος μηνύματος έγινε πιο εύκολο να στηθεί μετά την κυβερνοεπίθεση στα τρία αεροδρόμια της βρετανικής Manchester Airports Group (MAG): το Μάντσεστερ, το Στάνστεντ του Λονδίνου και το East Midlands.

Η εταιρεία αναφέρει ότι ένας μη εξουσιοδοτημένος τρίτος απέκτησε δεδομένα πελατών από κρατήσεις στάθμευσης, lounge, Fast Track και από τις εγγραφές στο Wi‑Fi των αεροδρομίων (Manchester Airport). Τα εκτεθειμένα στοιχεία είναι λίγα αλλά προσωπικά: διευθύνσεις email, τηλέφωνα, αριθμοί κυκλοφορίας και ταχυδρομικοί κώδικες (MAG Media Centre). Καμία κάρτα, κανένα τραπεζικό στοιχείο. Η MAG τονίζει ότι το παραβιασμένο σύστημα δεν κρατούσε καν στοιχεία πληρωμών, ενώ ούτε οι πτήσεις ούτε η ασφάλεια των επιβατών επηρεάστηκαν (Manchester Airport, BBC).

Γιατί τρία αεροδρόμια μαζί — και καμία πτήση

Δεν χτυπήθηκε κάποιο «σύστημα αεροδρομίου», αλλά το κοινό εμπορικό λογισμικό που μοιράζονται τα τρία. Σκέψου τρία καταστήματα της ίδιας αλυσίδας που μοιράζονται ένα e‑shop και μια βάση πελατών: αν κάποιος μπει σε αυτό το κοινό ταμείο κρατήσεων, βλέπει μαζί τους πελάτες και των τριών — χωρίς να έχει πλησιάσει τον πύργο ελέγχου, τον έλεγχο αποσκευών ή τα συστήματα ασφαλείας (The Register). Έτσι μία επίθεση αγγίζει τρία αεροδρόμια ταυτόχρονα, χωρίς να πειράξει ούτε μία απογείωση. Η MAG λέει ότι έκοψε την πρόσβαση στα πληγέντα συστήματα και ανέστειλε προσωρινά την ηλεκτρονική διαχείριση κρατήσεων ως προληπτικό μέτρο, ενώ οι υπάρχουσες κρατήσεις παραμένουν έγκυρες (Infosecurity Magazine).

Η επίθεση τοποθετείται το προηγούμενο Σαββατοκύριακο. Η MAG λέει ότι την εντόπισε την Τρίτη 25 Αυγούστου και άρχισε να ειδοποιεί πελάτες με email την Πέμπτη 27 (Manchester Evening News).

Πόσοι, ποιοι, και τι δεν ξέρουμε ακόμα

Ο αριθμός που κυκλοφορεί είναι μεγάλος: περίπου 8,7 εκατομμύρια πελάτες. Τα δημοσιεύματα τον αποδίδουν στη MAG, αλλά η δημόσια ανακοίνωση που εντοπίζεται δεν τον αναγράφει ρητά, ούτε διευκρινίζει αν πρόκειται για 8,7 εκατ. ξεχωριστά πρόσωπα ή για μη «καθαρισμένες» εγγραφές — ο ίδιος άνθρωπος μπορεί να μετρηθεί πολλές φορές αν έκλεισε στάθμευση και χρησιμοποίησε και το Wi‑Fi (The Guardian). Εκπρόσωπος της εταιρείας ανέφερε πάντως ότι για τη μεγάλη πλειονότητα το μόνο στοιχείο που εκτέθηκε ήταν το email (The Register). Και προσοχή στο ποιοι είναι οι «πελάτες»: όχι μόνο επιβάτες, αλλά και όποιος πάρκαρε για να παραλάβει κάποιον ή απλώς συνδέθηκε στο δωρεάν Wi‑Fi.

Άλλα κρίσιμα κομμάτια λείπουν. Δεν έχει γίνει δημόσια γνωστός ο τρόπος εισόδου, ούτε αν υπήρξε αίτημα λύτρων (This is Money). Το BBC μεταδίδει ότι η MAG γνωρίζει την ταυτότητα των δραστών, αλλά χωρίς όνομα ή ανεξάρτητη επιβεβαίωση αυτό παραμένει ένας μοναδικός ισχυρισμός (BBC). Σε μέγεθος, η διαρροή πλησιάζει εκείνη της easyJet το 2020, με περίπου 9 εκατ. πελάτες (UpGuard). Και το κόστος μπορεί να μην είναι μόνο εικόνας: ο βρετανικός κανονισμός υποχρεώνει την εταιρεία να ειδοποιήσει μέσα σε 72 ώρες την ICO, την αρχή προστασίας δεδομένων (UK GDPR), η οποία σε σοβαρές υποθέσεις επιβάλλει πρόστιμα εκατομμυρίων — όπως τα £14 εκατ. στην πρόσφατη υπόθεση Capita (ICO).

Γιατί «λίγα» στοιχεία αρκούν για μεγάλη απάτη

Ένα email και μια πινακίδα δεν είναι κλειδιά που ανοίγουν τον λογαριασμό σου· είναι κομμάτια μιας επίσημης στολής. Ο απατεώνας δεν χρειάζεται την κάρτα σου — του αρκεί μια πειστική ιστορία που σε κάνει να πατήσεις έναν σύνδεσμο ή να πληρώσεις μια μικρή, «λογική» χρέωση. Το NCSC, η βρετανική εθνική υπηρεσία κυβερνοασφάλειας, το περιγράφει καθαρά: οι απάτες πετυχαίνουν όταν συνδυάζουν αυθεντία, οικειότητα και επείγον (NCSC). Όταν το μήνυμα ξέρει τη σωστή σου πινακίδα, ο εγκέφαλος σταματά να το βλέπει ως τυχαίο spam και το διαβάζει ως «μάλλον αφορά όντως εμένα» — κι εκεί πέφτει η φυσική καχυποψία (FTC).

Πρακτικά, τις επόμενες εβδομάδες τα μηνύματα θα είναι συγκεκριμένα. Ένα SMS για «απλήρωτη χρέωση στάθμευσης» με τη σωστή πινακίδα και μια σφιχτή προθεσμία. Ή ένα τηλεφώνημα «επιβεβαίωσης κράτησης» που αναφέρει σωστά τον ταχυδρομικό σου κώδικα και ζητά έναν κωδικό μίας χρήσης. Η άμυνα είναι μικρή αλλά σταθερή: κανένας σύνδεσμος και καμία πληρωμή μέσα από εισερχόμενο μήνυμα — μπες μόνος σου στο επίσημο site ή τηλεφώνησε από γνωστό αριθμό, και προώθησε τα ύποπτα email στο [email protected] (NCSC, Action Fraud). Οι πτήσεις απογειώθηκαν κανονικά· αυτό που έφυγε ήταν αρκετά δικά σου στοιχεία ώστε η επόμενη απάτη να ακούγεται σαν να έρχεται πράγματι από το αεροδρόμιο.