Bij drie Britse luchthavens heeft een groot datalek plaatsgevonden waarbij de persoonsgegevens van 8,7 miljoen mensen zijn buitgemaakt. De oorzaak ligt bij gelekte API-keys die per ongeluk in publiek toegankelijke JavaScript-bestanden waren geplaatst, aldus de Britse beveiligingsonderzoeker Kevin Beaumont.

De Manchester Airport Group (MAG) maakte vorige week bekend dat zij te maken hadden met een data security incident. Hierbij werden onder meer e-mailadressen, telefoonnummers, voertuigregistraties en postcodes van klanten gestolen. Deze gegevens betroffen gebruikers van parkeerfaciliteiten, lounges, Fast Track-reserveringen en wifi op de luchthavens van Manchester, Stansted en East Midlands.

De ransomwaregroep FulcrumSec heeft de aanval opgeëist. Zij wisten ruim vijfhonderd gigabyte aan ongecomprimeerde data te stelen en hebben deze inmiddels online gepubliceerd. Volgens Beaumont is het datalek veroorzaakt door een fout bij de Manchester Airport Group, waarbij API-keys met volledige toegang per ongeluk in de eigen .js-bestanden waren opgenomen. FulcrumSec zoekt specifiek naar dergelijke JavaScript-bestanden om credentials te vinden waarmee zij toegang krijgen tot gevoelige informatie. Vervolgens worden bedrijven afgeperst met de gestolen gegevens.

De Manchester Airport Group heeft nog niet bekendgemaakt hoe het datalek precies heeft kunnen ontstaan.