Manchester Airports : 86 Go et 8,7 millions de clients volés

Une exfiltration massive sans intrusion : la fuite par l'API exposée

Le 31 août 2026, Manchester Airports Group (MAG) a confirmé que des données clients avaient été dérobées par un tiers non autorisé depuis ses systèmes de réservation. Parallèlement, le groupe d'extorsion FulcrumSec revendiquait publiquement la responsabilité de l'acte, affirmant avoir exfiltré environ 86 gigaoctets de données clients — un volume que BleepingComputer a partiellement validé en consultant des échantillons fournis par les attaquants.

Ce qui distingue cet incident des cyberattaques classiques par ransomware ou intrusion réseau, c'est la méthode employée. Selon BleepingComputer, TechNadu et Security Affairs, FulcrumSec n'a pas eu besoin de pirater un serveur ou de compromettre un compte à privilèges. Le groupe a simplement récupéré des clés API de la plateforme marketing Iterable qui avaient été laissées en clair dans du code JavaScript visible côté client — autrement dit, dans le code source des pages web publiques de MAG, accessible à n'importe qui disposant des outils de développement d'un navigateur.

Iterable est une plateforme d'automatisation marketing largement utilisée par les entreprises pour gérer leurs campagnes d'emailing, leurs notifications push et leurs workflows de communication client. Elle stocke des profils clients enrichis — données de contact, historique d'achats, segmentation marketing, comportements en ligne — qui constituent une mine d'informations pour des acteurs malveillants souhaitant monter des campagnes de phishing ciblées ou revendre des bases de données sur des marchés illicites.

L'exposition de clés API dans du JavaScript public est une erreur de configuration connue depuis des années dans la communauté de la sécurité applicative. Les scanners automatisés, les outils de reconnaissance open source et même les moteurs de recherche spécialisés comme Shodan peuvent indexer ce type d'information. Dans ce cas précis, FulcrumSec aurait identifié des clés d'API spécifiques à chaque aéroport opéré par MAG — Manchester, Londres Stansted et East Midlands — ce qui lui a permis d'extraire des données compartimentées par site sans déclencher d'alarme centralisée.

L'ampleur de la fuite est substantielle. MAG a officiellement reconnu que les systèmes de réservation de parkings, de salons VIP, de Fast Track (files prioritaires) et d'enregistrement au Wi-Fi aéroportuaire étaient concernés. FulcrumSec affirme avoir obtenu notamment un export client Manchester de 21,5 gigaoctets contenant des profils consolidés avec historique de réservations et classifications marketing. Plus préoccupant : le groupe revendique la possession d'environ 200 000 enregistrements liés à des voyages planifiés pour le reste de l'année 2026, ce qui ouvre la voie à des arnaques de type fraude aux voyages en temps réel — faux emails de confirmation, demandes de modification de réservation frauduleuses, etc.

BleepingComputer a pu valider au moins un enregistrement de voyageur avec des détails allant au-delà de ce que MAG avait initialement reconnu dans son avis public — confirmant que l'opérateur aéroportuaire avait potentiellement minimisé la portée de la fuite dans sa communication initiale. MAG n'a pas commenté directement les affirmations de FulcrumSec lorsqu'interrogé par la presse spécialisée, se contentant de confirmer qu'une enquête était en cours et que les autorités compétentes avaient été notifiées.

Avec 8,7 millions de clients potentiellement affectés, cette fuite est désignée par plusieurs analystes comme la plus grande violation de données jamais enregistrée pour un opérateur aéroportuaire britannique. À titre de comparaison, la violation de données de British Airways en 2018 avait touché 500 000 clients et valu à la compagnie une amende initiale de 183 millions de livres de l'ICO (autorité de protection des données britannique), finalement réduite à 20 millions de livres. MAG s'expose à des sanctions similaires si les investigations confirment un manquement aux obligations de sécurité du UK GDPR.

L'autorité de protection des données du Royaume-Uni (ICO) doit être notifiée sous 72 heures conformément au UK GDPR. MAG ayant divulgué l'incident le 27 août, le délai était théoriquement respecté — mais si l'incident a eu lieu plusieurs jours avant, des questions se poseront sur la détection tardive de la compromission. Un audit des logs d'accès à l'API Iterable révélera rapidement quand les premières requêtes anormales ont eu lieu.

L'API comme vecteur d'attaque : un angle mort persistant pour les grandes organisations

L'incident Manchester Airports illustre une catégorie de vulnérabilités qui, malgré sa notoriété théorique, reste sous-estimée dans les audits de sécurité applicatifs : l'exposition de secrets dans le code frontend. Contrairement aux attaques par injection SQL ou aux exploits de vulnérabilités zero-day qui nécessitent un certain niveau d'expertise technique, récupérer une clé API depuis le code source d'une page web est à la portée d'un étudiant en informatique de première année. C'est précisément ce qui rend ce type de fuite si problématique : la barrière à l'entrée pour les attaquants est quasi nulle.

Les outils de gestion des secrets comme HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, ou les fonctionnalités de variables d'environnement côté serveur existent justement pour éviter ce scénario. Le problème réside souvent dans la chaîne de développement : un développeur, sous pression de délai, code directement une clé API dans une constante JavaScript pour « tester » et oublie de la remplacer avant la mise en production. Les processus de revue de code et les outils de détection de secrets (GitGuardian, Gitleaks, Trufflehog) peuvent attraper ces erreurs, mais encore faut-il les avoir intégrés dans la pipeline CI/CD et que les équipes les respectent effectivement.

Pour les organisations traitant des données personnelles à grande échelle — aéroports, hôtels, compagnies de transport — l'enjeu est particulièrement élevé. Ces entreprises centralisent des données comportementales et de déplacement extrêmement sensibles : identité, habitudes de voyage, informations de paiement, voire données biométriques dans certains contextes. Une compromission de ces données via une API mal sécurisée est doublement dommageable : financièrement (amendes RGPD/UK GDPR, coûts de gestion de crise) et réputationnellement (perte de confiance durable des passagers).

Le cas FulcrumSec pose également la question de la responsabilité des fournisseurs de plateformes marketing. Iterable, comme ses concurrents, offre des mécanismes de sécurité avancés — restriction des IP autorisées, scopes d'API limités, rotation automatique des clés — mais c'est aux clients de les activer et de les configurer correctement. La plateforme n'est pas en faute ici ; la gestion des credentials l'est. Néanmoins, les grands opérateurs d'infrastructures critiques comme les aéroports devraient intégrer dans leurs contrats avec leurs prestataires marketing des clauses de sécurité plus strictes, notamment des audits réguliers de la configuration API et des tests de pénétration applicatifs annuels.

Ce qu'il faut retenir

• FulcrumSec a exfiltré 86 Go de données de Manchester Airports Group sans intrusion réseau, via des clés API Iterable exposées dans du JavaScript public côté client.
• 8,7 millions de clients sont potentiellement concernés, dont 200 000 avec des voyages à venir — risque immédiat de fraude aux voyages et de phishing ultra-ciblé.
• Auditez en urgence votre code frontend pour des secrets exposés (GitGuardian, Gitleaks, Trufflehog) et révoquez immédiatement toute clé API compromise détectée.