Aeroporti di Manchester, Stansted ed East Midlands: 8,7 milioni di clienti esposti, e i dati arrivano anche dal Wi-Fi

Il 27 agosto 2026 Manchester Airports Group (MAG), il gruppo che gestisce gli aeroporti di Manchester, London Stansted ed East Midlands, ha comunicato di aver subito un accesso non autorizzato ai dati di circa 8,7 milioni di clienti. L'Information Commissioner's Office britannico ha confermato di aver ricevuto la notifica di violazione e di essere in fase di valutazione.

Non ci sono dati bancari, non ci sono carte di credito, non ci sono passaporti. Nella maggior parte dei casi, dice l'azienda, l'unico dato acquisito è un indirizzo email. È il tipo di incidente che si tende a classificare come minore, e proprio per questo vale la pena guardarlo da vicino: la combinazione di dati sottratti è insolita, e la fonte da cui provengono dice qualcosa di scomodo su un archivio che quasi nessuna organizzazione considera tale.

I fatti verificati

• Cronologia: MAG dichiara di essere stata allertata dell'incidente martedì 25 agosto e ritiene che gli attaccanti abbiano avuto accesso ai dati dei clienti pochi giorni prima della scoperta. L'annuncio pubblico è del giovedì 27 agosto.
• Sistemi coinvolti: i dati raccolti attraverso le prenotazioni di parcheggio, di sale VIP e del servizio Fast Track, e le registrazioni al Wi-Fi all'interno degli aeroporti di Manchester, Stansted ed East Midlands.
• Dati sottratti: indirizzi email, numeri di telefono, targhe dei veicoli e codici di avviamento postale. Un portavoce ha dichiarato che nella "grande maggioranza" dei casi l'unico dato acquisito è stato l'indirizzo email.
• Dati non coinvolti: né MAG né il sistema interessato conservano coordinate bancarie o dati delle carte di pagamento. Nessun dato finanziario risulta esposto.
• Impatto operativo: nessuno sulla sicurezza aerea, sui voli o sui parcheggi. Come misura precauzionale è stato sospeso il servizio online Manage My Booking; le prenotazioni restano valide e chi deve modificarne una entro 72 ore viene indirizzato a un numero telefonico.
• Risposta: MAG ha limitato l'accesso ai sistemi interessati, ha coinvolto specialisti esterni di sicurezza, ha notificato le autorità competenti e ha scritto ai clienti interessati avvertendoli del rischio di phishing, precisando che non contatterà mai i clienti in modo inatteso per chiedere dati di pagamento, informazioni bancarie o password.
• Ciò che non è stato detto: MAG non ha reso noto come gli attaccanti siano entrati né cosa abbiano fatto all'interno oltre ad accedere ai dati dei clienti, e non ha indicato se vi sia stata una richiesta di riscatto.
• Dimensione del bacino: i tre aeroporti hanno movimentato oltre 65 milioni di passeggeri nell'ultimo anno, anche se non tutti hanno usato i servizi interessati. Il gruppo è controllato da dieci enti locali dell'area di Manchester, con una quota di minoranza del fondo australiano IFM Investors.

La combinazione di dati conta più della sua sensibilità

"Solo un indirizzo email" è una descrizione tecnicamente corretta e analiticamente fuorviante.

Quello che rende questo archivio interessante per un attaccante non è la sensibilità dei singoli campi, ma il fatto che siano legati a un evento verificabile. Chi possiede questo elenco non sa solo che una certa persona ha un certo indirizzo email: sa che quella persona ha prenotato un parcheggio a Stansted, sa con quale targa ci è arrivata, sa il suo codice postale e il suo numero di telefono.

Questo trasforma il messaggio fraudolento. "Gentile cliente, la sua prenotazione richiede una verifica" è un tentativo generico che quasi nessuno segue. "La sua prenotazione parcheggio per il veicolo targato XX000XX ha un pagamento in sospeso" è un'affermazione che il destinatario può confrontare con la realtà e trovare corretta. La targa e il codice postale non servono a rubare nulla: servono a rendere credibile la richiesta successiva, che sarà quella dei dati di pagamento. È esattamente il motivo per cui MAG ha messo in guardia i clienti sul phishing prima ancora di sapere come sia avvenuta l'intrusione.

C'è poi un secondo uso, più specifico: la targa è un identificativo che collega la persona a un veicolo fisico e, tramite il codice postale, a un'area geografica ristretta. In un archivio di questa dimensione è un materiale utile a chi si occupa di frodi assicurative, di cloni di targhe e di truffe legate ai servizi di parcheggio.

L'archivio di cui nessuno si ricorda: il portale Wi-Fi

Il dettaglio più istruttivo di questa vicenda è che parte dei dati proviene dalle registrazioni al Wi-Fi degli aeroporti.

Il captive portal — la pagina che si apre quando ci si collega a una rete pubblica e chiede email, nome, a volte numero di telefono — è percepito come una formalità di accesso, non come un sistema che alimenta un archivio. Nella pratica, però, ogni registrazione crea un record che viene conservato, spesso indefinitamente, in un database che raramente rientra nel perimetro delle valutazioni di sicurezza, quasi mai è oggetto di un test di intrusione e frequentemente è gestito da un fornitore terzo con un contratto stipulato dall'ufficio marketing.

Ai fini del GDPR questo è a tutti gli effetti un trattamento di dati personali, e i principi dell'articolo 5 si applicano per intero. La minimizzazione (lettera c) impone di raccogliere solo i dati necessari alla finalità: per fornire accesso a Internet, il numero di telefono e il codice postale sono difficili da giustificare. La limitazione della conservazione (lettera e) impone di non tenerli oltre il necessario: la domanda che questo incidente pone a chiunque gestisca un hotspot pubblico è perché nel 2026 sia ancora presente in un database la registrazione di una persona che è passata da lì nel 2019.

In Italia questo punto ha una storia specifica che vale la pena richiamare, perché produce ancora effetti. L'obbligo di identificare gli utenti delle reti Wi-Fi pubbliche introdotto dal cosiddetto decreto Pisanu è stato abrogato nel 2013. Da oltre dieci anni, quindi, non esiste in Italia un obbligo generale di identificazione per offrire accesso a Internet al pubblico. Nonostante ciò, moltissimi esercizi commerciali, strutture ricettive, centri commerciali e amministrazioni continuano a raccogliere documenti d'identità, codici fiscali e numeri di cellulare al momento della connessione, per abitudine o perché il fornitore del servizio propone quel modello. Il risultato è un patrimonio di dati personali accumulato senza una base giuridica solida, conservato senza un termine definito, e che in caso di violazione va notificato esattamente come qualsiasi altro.

Cosa significa per le aziende italiane

Sul piano diretto, l'incidente riguarda chiunque abbia usato i parcheggi, le sale o il Wi-Fi di Manchester, Stansted o East Midlands: fra questi ci sono viaggiatori italiani, dato che tutti e tre gli scali hanno collegamenti regolari con l'Italia. Per loro l'esposizione è un rischio di phishing mirato, non di frode diretta.

Sul piano normativo, la vicenda ricorda che il Regno Unito applica lo UK GDPR, un impianto sostanzialmente equivalente al regolamento europeo, e che i dati di cittadini dell'Unione trattati nel Regno Unito godono della decisione di adeguatezza della Commissione. L'autorità competente è l'ICO, che ha già ricevuto la notifica; per gli interessati residenti in Italia il Garante resta il punto di contatto naturale per un reclamo.

Sul piano della trasferibilità, il punto centrale riguarda gli operatori nazionali di infrastrutture di trasporto. I gestori di aeroporti rientrano fra i soggetti dei settori altamente critici dell'allegato I della direttiva NIS2, recepita in Italia dal d.lgs. 138/2024, insieme a gestori aeroportuali, vettori aerei e operatori del traffico. Per questi soggetti un incidente analogo comporterebbe la notifica di preallarme ad ACN entro 24 ore dalla conoscenza, la notifica dell'incidente entro 72 ore e una relazione finale entro un mese, in parallelo e in aggiunta agli obblighi verso il Garante privacy previsti dall'articolo 33 del GDPR. Sono due catene di notifica distinte, con destinatari, tempi e contenuti diversi, e nella pratica è raro che siano state provate insieme prima di servirsene.

Un ultimo elemento riguarda la governance dei sistemi cosiddetti "accessori". Parcheggi, sale VIP, Fast Track e Wi-Fi sono servizi commerciali, non sistemi operativi critici: sono gestiti da funzioni diverse, con budget diversi e spesso su piattaforme fornite da terzi. Nessuno di questi sistemi metteva a rischio la sicurezza dei voli, ed è la ragione per cui MAG ha potuto dichiarare fin da subito che le operazioni aeroportuali non erano state toccate. Ma i dati personali di 8,7 milioni di persone erano lì, e non nei sistemi critici. La mappa dei rischi disegnata sulla continuità operativa e quella disegnata sulla protezione dei dati non coincidono, e la seconda viene aggiornata molto meno spesso della prima.

Cosa fare subito

Se avete usato quegli aeroporti

• Diffidate di qualsiasi email o SMS che faccia riferimento a una prenotazione di parcheggio o a un pagamento in sospeso, anche se cita correttamente la vostra targa o il vostro codice postale: il fatto che i dati siano esatti è la conseguenza della violazione, non una prova di autenticità.
• Non cliccate sui link contenuti in questi messaggi. Se dovete verificare una prenotazione, digitate voi l'indirizzo del sito dell'aeroporto.
• Ricordate che MAG ha dichiarato che non contatterà mai i clienti in modo inatteso per chiedere dati di pagamento, coordinate bancarie o password.

Se gestite un hotspot pubblico o un servizio con registrazione

• Fate l'inventario del captive portal: chi lo gestisce, dove risiedono i dati, quali campi vengono raccolti, da quanto tempo, e chi vi ha accesso. Nella maggior parte dei casi questa risposta non è immediatamente disponibile, ed è già di per sé il risultato più utile dell'esercizio.
• Eliminate i campi non necessari. Per offrire accesso a Internet non serve il numero di telefono, non serve il codice fiscale e non serve il documento d'identità: in Italia l'obbligo di identificazione è stato abrogato nel 2013.
• Definite e applicate un termine di conservazione. Una cancellazione automatica dei record inattivi da oltre dodici o ventiquattro mesi riduce la dimensione della violazione futura più di qualsiasi controllo aggiuntivo.
• Verificate il contratto con il fornitore ai sensi dell'articolo 28 del GDPR: nomina a responsabile del trattamento, misure di sicurezza, obbligo e tempi di comunicazione degli incidenti al titolare. Se il fornitore vi avvisa in una settimana, le vostre 72 ore sono già finite.
• Estendete il perimetro dei test di sicurezza ai sistemi commerciali accessori. Prenotazioni, fidelizzazione, portali Wi-Fi e sistemi di ticketing contengono spesso più dati personali dei sistemi che considerate critici.
• Provate la doppia catena di notifica. Se siete soggetti NIS2, simulate una volta l'anno un incidente che coinvolga dati personali e verificate che le scadenze delle 24 ore verso ACN e delle 72 ore verso il Garante siano gestite da persone che sanno di doverlo fare.