Wi-Fi gratuit à l'aéroport : ce piège méconnu a exposé les données personnelles de 8,7 millions de voyageurs

Se connecter au Wi-Fi gratuit d’un aéroport entre deux embarquements, réserver une place de parking ou un accès Fast Track : des gestes automatiques pour des millions de voyageurs. Pour près de trois plateformes britanniques, ils viennent de se transformer en porte d’entrée vers une vaste base de données clients.

Le 27 août, Manchester Airports Group a reconnu une cyberattaque visant les aéroports de Manchester Airport, London Stansted et East Midlands. Environ 8,7 millions de clients auraient vu leurs informations personnelles exposées via les formulaires d’inscription au Wi-Fi et les réservations de parking, de salons et de passage prioritaire. Pas de vols annulés, pas d’écrans noirs, mais un risque bien plus discret : des campagnes d’arnaques taillées sur mesure.

Cyberattaque chez Manchester Airports Group : ce que l’on sait

Dans son communiqué, le groupe évoque un « tiers non autorisé » qui a obtenu « une quantité de données clients » liées aux réservations de parking, de salons, de Fast Track et aux inscriptions au Wi-Fi, explique le gestionnaire des plateformes, cité par le Journal du Coin. Les informations concernées sont les adresses e-mail, les numéros de téléphone, les plaques d’immatriculation et les codes postaux. Rien de bancaire, insiste MAG : le système touché ne stocke ni coordonnées de paiement ni numéros de carte, et la sécurité aérienne n’a pas été affectée, les avions continuant de décoller normalement. Le groupe affirme avoir « immédiatement contenu le risque », fait appel à des spécialistes externes et prévenu les autorités compétentes, parlant d’une « attaque sophistiquée » plutôt que d’une erreur humaine.

Les aéroports gérés par MAG voient passer plus de 66 millions de passagers par an, et année après année, chaque formulaire Wi-Fi rempli nourrit une base marketing devenue très attrayante pour un intrus. Si le communiqué officiel ne donne pas de chiffre, le média spécialisé The Record avance environ 8,7 millions de clients touchés. Un porte-parole de MAG précise que dans « la grande majorité » des cas, seule l’adresse e-mail aurait été consultée, le reste des données – téléphone, immatriculation, code postal – visant surtout les clients ayant réservé un parking ou un salon, selon des propos rapportés par le Yorkshire Post. Le service en ligne « Manage My Booking » a été suspendu par précaution le temps de l’enquête, même si les opérations dans les terminaux n’ont pas été perturbées.

Wi-Fi gratuit, données exposées et terrain de jeu pour le phishing

Malgré les titres, il ne s’agit pas d’un piratage du signal Wi-Fi lui-même, mais des systèmes qui centralisent les inscriptions et les réservations commerciales. Autrement dit : ce sont les données saisies dans les formulaires – pour obtenir un accès Internet, un parking ou un passage prioritaire – qui se retrouvent dans la nature. Une simple adresse e-mail isolée se traduit surtout par du spam supplémentaire ; combinée à un numéro de téléphone, une plaque d’immatriculation, un code postal et une date de séjour, elle devient la base d’un phishing très crédible, par exemple un faux « remboursement de parking » ou une fausse amende envoyés au bon moment.

MAG a déjà envoyé des e-mails d’alerte pour inviter ses clients à la plus grande vigilence face à tout message suspect lié au parking ou aux services aéroportuaires. L’autorité britannique de cybersécurité NCSC propose des conseils détaillés pour réagir en cas de fuite de données, tandis que le dossier arrive sur le bureau de l’ICO, le régulateur chargé des sanctions en matière de protection des données. Dans un secteur déjà marqué par des rançongiciels ayant paralysé des systèmes d’enregistrement en Europe ou aux Etats-Unis, cet incident illustre un autre visage du risque : même quand les vols décollent à l’heure, les informations laissées sur un formulaire peuvent alimenter des escroqueries pendant des mois.