Um incidente de segurança envolvendo uma das maiores operadoras aeroportuárias do Reino Unido resultou no roubo de informações de passageiros que utilizaram serviços em três aeroportos britânicos. O Manchester Airports Group (MAG) confirmou que criminosos conseguiram acessar dados associados às suas operações, incluindo informações fornecidas por viajantes durante o cadastro para utilização de Wi-Fi.
O incidente envolve os aeroportos de Manchester, London Stansted e East Midlands, todos administrados pelo grupo.
A confirmação amplia a dimensão de um ataque cibernético anteriormente identificado pela companhia e mostra que o episódio não ficou restrito aos sistemas internos da organização. Informações pertencentes a passageiros também acabaram acessadas pelos invasores.
O caso é particularmente relevante porque aeroportos recebem milhões de pessoas todos os anos e oferecem diversos serviços digitais que dependem da coleta de informações pessoais.
Dados utilizados para acesso ao Wi-Fi foram roubados
Entre as informações comprometidas estão dados fornecidos por passageiros durante o processo de cadastro no Wi-Fi dos aeroportos.
Redes públicas normalmente solicitam algumas informações antes de liberar o acesso à internet. Dependendo do serviço e do período em que o cadastro foi realizado, isso pode incluir dados de identificação e contato.
O Manchester Airports Group iniciou um processo para determinar exatamente quais informações foram acessadas e quem pode ter sido atingido.
A empresa também está entrando em contato com pessoas afetadas quando necessário.
Um aspecto importante é que a confirmação de roubo de dados não significa necessariamente que informações de todos os passageiros que passaram pelos três aeroportos tenham sido comprometidas. O impacto depende dos sistemas acessados e dos registros existentes no ambiente atingido.
Manchester, Stansted e East Midlands foram atingidos
O incidente chama atenção pela escala da operação do MAG.
O grupo administra três aeroportos importantes do Reino Unido: Manchester Airport, London Stansted Airport e East Midlands Airport.
Manchester é um dos principais aeroportos britânicos fora de Londres, enquanto Stansted possui grande movimentação internacional e é uma das principais portas de entrada para a capital britânica.
East Midlands também possui importância estratégica, principalmente pela combinação de transporte de passageiros e operações logísticas.
Por isso, mesmo um comprometimento limitado a determinados bancos de dados pode envolver um número significativo de pessoas.
Ataque não significa invasão dos sistemas de controle de voo
É importante diferenciar os sistemas atingidos daqueles responsáveis diretamente pela segurança da aviação.
Até o momento, não há indicação de comprometimento de sistemas responsáveis pelo controle de tráfego aéreo ou pela operação direta das aeronaves.
O incidente divulgado está relacionado ao ambiente tecnológico e aos dados administrados pelo grupo aeroportuário.
Essa distinção é relevante porque grandes aeroportos utilizam diferentes redes e sistemas, normalmente separados de acordo com sua finalidade.
Infraestruturas utilizadas para serviços ao passageiro, marketing, Wi-Fi e aplicações corporativas não necessariamente possuem acesso aos sistemas críticos utilizados nas operações aeronáuticas.
Mesmo assim, uma invasão aos ambientes corporativos continua sendo um problema relevante, principalmente quando envolve informações pessoais.
Informações roubadas podem alimentar ataques de phishing
O maior risco para os passageiros pode aparecer depois do ataque.
Dados obtidos em vazamentos frequentemente são utilizados por criminosos para construir campanhas de phishing e engenharia social.
No contexto aeroportuário, existem diversas possibilidades para esse tipo de golpe.
Uma pessoa que sabe que determinado usuário possui relacionamento com um aeroporto pode enviar mensagens falsas envolvendo voos, estacionamento, bagagem, programas de benefícios, Wi-Fi ou serviços aeroportuários.
Quanto mais informações reais o criminoso possui, maior pode ser a credibilidade da mensagem.
Um e-mail contendo nome correto e referências a uma empresa realmente utilizada pela vítima tende a parecer mais legítimo do que uma tentativa genérica de fraude.
Passageiros devem desconfiar de mensagens inesperadas
Usuários que receberem comunicações relacionadas aos aeroportos de Manchester, Stansted ou East Midlands devem prestar atenção principalmente a mensagens solicitando informações adicionais.
Pedidos inesperados para redefinir senhas, confirmar dados bancários, realizar pagamentos ou fornecer credenciais devem ser tratados com cautela.
O ideal é evitar acessar serviços por links enviados em mensagens suspeitas e procurar diretamente os canais oficiais da empresa.
Também é recomendável utilizar senhas diferentes em cada serviço e ativar autenticação multifator sempre que disponível.
Essa medida é particularmente importante quando um incidente envolve endereços de e-mail, porque os criminosos podem tentar combinar as informações roubadas com credenciais obtidas em vazamentos anteriores.
Wi-Fi gratuito também cria grandes bancos de dados
O episódio traz outra discussão importante sobre serviços de internet oferecidos gratuitamente em espaços públicos.
Para o usuário, conectar-se ao Wi-Fi de um aeroporto pode parecer uma ação simples e temporária.
Para a empresa responsável pelo serviço, entretanto, cada cadastro pode se transformar em um registro armazenado durante determinado período.
Quando milhões de pessoas utilizam esse tipo de infraestrutura ao longo dos anos, bancos de dados aparentemente secundários podem acumular grandes quantidades de informações.
Isso transforma sistemas de Wi-Fi, plataformas de relacionamento e ferramentas de marketing em alvos potencialmente interessantes para criminosos.
O valor de um banco de dados não está apenas em informações financeiras. E-mails, telefones, nomes e outros identificadores possuem mercado no ecossistema criminoso, principalmente quando podem ser combinados com informações provenientes de outras invasões.
Ataques modernos procuram dados, não apenas criptografia
O caso também acompanha uma transformação observada no cenário de ameaças cibernéticas.
Durante muitos anos, ransomware ficou associado principalmente à criptografia de servidores seguida de cobrança para fornecer uma chave de recuperação.
Hoje, muitos grupos priorizam o roubo de informações antes de qualquer tentativa de extorsão.
Isso cria um problema adicional para as organizações.
Um backup pode recuperar um servidor criptografado, mas não consegue recuperar o controle sobre informações que já foram copiadas pelos invasores.
Depois que um banco de dados é extraído, ele pode ser replicado inúmeras vezes, vendido, compartilhado ou utilizado em golpes futuros.
É justamente por isso que incidentes envolvendo dados pessoais podem continuar oferecendo riscos muito depois da restauração dos sistemas.
Aeroportos são alvos particularmente atraentes
A infraestrutura aeroportuária reúne características que tornam o setor interessante para diferentes tipos de atacantes.
Além de sistemas operacionais importantes, aeroportos administram grandes quantidades de dados relacionados a passageiros, funcionários, fornecedores e empresas parceiras.
Também dependem de inúmeros sistemas interconectados para administrar estacionamento, comércio, Wi-Fi, logística, credenciamento, segurança física e serviços aos passageiros.
Essa complexidade aumenta a superfície potencial de ataque.
Uma vulnerabilidade em um sistema menos crítico pode servir como porta de entrada para uma investigação mais ampla da infraestrutura.
Por isso, segmentação de rede e limitação de privilégios são fundamentais para impedir que uma invasão inicial avance para ambientes mais sensíveis.
Terceiros também aumentam a superfície de exposição
Outro desafio está no número de fornecedores necessários para manter um aeroporto funcionando.
Grandes organizações utilizam plataformas de terceiros para diversas atividades, desde sistemas administrativos até comunicação com clientes.
Cada integração representa uma relação de confiança.
Se um fornecedor possui acesso a determinados dados, o comprometimento desse parceiro também pode criar riscos para a organização principal.
Esse problema é conhecido como risco da cadeia de suprimentos digital e se tornou uma das principais preocupações das equipes de segurança corporativa.
Mesmo empresas com controles avançados precisam avaliar continuamente os acessos concedidos a fornecedores e sistemas externos.
Investigação deverá determinar a dimensão real
Uma das questões mais importantes agora será descobrir quantas pessoas foram efetivamente afetadas.
Em grandes incidentes, esse número nem sempre está disponível imediatamente.
Equipes forenses precisam identificar quais servidores foram acessados, quais bancos de dados estavam disponíveis, quais consultas foram realizadas e se arquivos foram transferidos para infraestrutura controlada pelos atacantes.
Somente depois dessa análise é possível chegar a uma estimativa mais precisa.
Também será necessário determinar durante quanto tempo os criminosos permaneceram no ambiente antes da detecção.
Quanto maior esse período, maiores podem ser as oportunidades para reconhecimento da rede e coleta de informações.
Proteção de dados aumenta pressão sobre a empresa
Como o incidente ocorre no Reino Unido, o caso também envolve obrigações relacionadas às regras britânicas de proteção de dados.
Organizações responsáveis por informações pessoais precisam avaliar a extensão de um incidente e, dependendo da gravidade, comunicar autoridades reguladoras e pessoas afetadas.
A resposta não termina, portanto, com a remoção dos invasores.
É necessário compreender quais informações foram expostas, quais riscos surgem para os usuários e quais medidas podem reduzir eventuais danos.
A forma como a empresa comunica o incidente também é importante.
Passageiros precisam saber exatamente quais dados foram comprometidos para entender quais golpes podem aparecer posteriormente.
Dados de passageiros viraram ativos valiosos para criminosos
O incidente envolvendo o Manchester Airports Group evidencia uma característica cada vez mais importante dos ataques cibernéticos: informações aparentemente simples podem possuir grande valor quando analisadas em conjunto.
Um endereço de e-mail isolado revela pouco.
Quando combinado com nome, telefone, localização, histórico de relacionamento com determinada empresa e dados provenientes de outros vazamentos, pode ajudar criminosos a construir um perfil muito mais detalhado.
Esse processo é utilizado para aumentar a eficiência de golpes direcionados.
Por isso, organizações que coletam informações durante cadastros de Wi-Fi, aplicativos ou programas de relacionamento precisam aplicar o princípio de minimização de dados: armazenar apenas aquilo que realmente é necessário e pelo menor período possível.
Caso reforça importância da segurança além dos sistemas críticos
A principal lição do episódio é que a proteção de uma infraestrutura aeroportuária não termina nos sistemas responsáveis diretamente pelos voos.
Serviços considerados auxiliares também precisam ser protegidos.
Wi-Fi, aplicativos, estacionamentos, plataformas comerciais e sistemas de relacionamento podem armazenar informações pertencentes a milhões de pessoas.
Uma invasão nesses ambientes pode não interromper uma pista ou impedir a decolagem de uma aeronave, mas pode produzir outro tipo de impacto: a exposição em larga escala dos passageiros que confiaram seus dados à organização.
A investigação sobre o ataque ao Manchester Airports Group deverá esclarecer a quantidade exata de pessoas afetadas e o conjunto completo de informações roubadas.
Até lá, passageiros que utilizaram serviços digitais nos aeroportos de Manchester, London Stansted e East Midlands devem permanecer atentos principalmente a mensagens inesperadas que tentem utilizar o nome dessas organizações para solicitar informações, pagamentos ou credenciais.
