Manchester Airports Group confirma el robo de datos de 8.7 millones de pasajeros

El operador de los aeropuertos de Manchester, Stansted y East Midlands reconoció que atacantes accedieron a correos, teléfonos, matrículas vehiculares y códigos postales de reservas de estacionamiento, salas VIP y Fast Track.

Manchester Airports Group confirmó el 27 de agosto de 2026 que atacantes accedieron a datos de casi nueve millones de pasajeros en un incidente que abarcó sus tres aeropuertos. MAG es el mayor operador aeroportuario del Reino Unido y controla Manchester, London Stansted y East Midlands, que en conjunto movilizan más de 66 millones de pasajeros al año.

Qué se llevaron

La información comprometida incluye direcciones de correo electrónico, números telefónicos, matrículas de vehículos y códigos postales. Los datos provienen de reservas de estacionamiento, acceso a salas VIP y servicio Fast Track.

La compañía precisó que los atacantes no accedieron a datos de pago de los clientes y que el incidente no afectó las operaciones aeroportuarias.

La respuesta

Tras detectar la intrusión, MAG restringió el acceso a los sistemas afectados, contrató expertos externos y notificó a las autoridades. Como medida preventiva suspendió temporalmente su servicio en línea "Manage My Booking" y derivó a los viajeros a su línea telefónica.

Especialistas advierten que la combinación de correo, teléfono, matrícula y código postal habilita campañas de phishing con un grado de personalización que las hace difíciles de detectar. Un mensaje que cite la matrícula correcta de un vehículo y una fecha de reserva real supera el filtro de sospecha habitual.

Lectura de Tabuga Intelligence

El vector de este incidente no fue el sistema crítico de operación aeroportuaria sino la plataforma comercial de servicios accesorios. Esa asimetría se repite en el sector: la protección se concentra en los sistemas de control y navegación, mientras las plataformas de reserva de estacionamiento y salas heredan controles menos rigurosos pese a concentrar datos personales de millones de usuarios.

Para los operadores de infraestructura de transporte en la región, incluidos aeropuertos y puertos dominicanos con plataformas comerciales digitalizadas, el ejercicio pendiente es inventariar qué sistemas periféricos acumulan datos personales y bajo qué régimen de control operan. La Ley 172-13 sobre protección de datos personales aplica con la misma exigencia a esos sistemas que a los centrales.

Fuentes