Die Hackergruppe FulcrumSec hat die bei einem Cyberangriff auf die Manchester Airports Group (MAG) erbeuteten Daten von rund 8,7 Millionen Menschen im Internet veröffentlicht. Zuvor war ein Erpressungsversuch gegen den Betreiber der Flughäfen Manchester, London Stansted und East Midlands gescheitert. Sicherheitsexperten warnen vor gezielten Phishing-Kampagnen.
Die Hackergruppe FulcrumSec hat nach einem fehlgeschlagenen Erpressungsversuch die persönlichen Daten von rund 8,7 Millionen Menschen aus dem Cyberangriff auf die Manchester Airports Group (MAG) online gestellt. Betroffen sind Kunden der Flughäfen Manchester, London Stansted und East Midlands, die der Konzern betreibt [1]. Die Gruppe stellt den Datensatz nach eigenen Angaben anderen Kriminellen kostenlos zur Verfügung – ein Vorgehen, das das Risiko von Folgeangriffen auf die Betroffenen deutlich erhöht.
Was veröffentlicht wurde
Der veröffentlichte Datensatz umfasst nach Angaben der Gruppe rund ein halbes Terabyte an Daten, die sie als „pure PII“ (persönlich identifizierbare Informationen) bezeichnet [1] [2]. Die Datenanalyse-Plattform HaveIBeenPwned hat das Material geprüft und darin E-Mail-Adressen, Telefonnummern, Adressen, Postleitzahlen, Kfz-Kennzeichen, Kaufhistorien sowie Daten zu Browsern und Endgeräten bestätigt [1] [2].
Lesen Sie auchCyberangriff auf Manchester Airports Group: Daten von 8,7 Millionen Kunden gestohlen→
Der Angriff betraf nach früheren Angaben von MAG vor allem Buchungsdaten für Parkplätze, Flughafenlounges, den Fast-Track-Service und WLAN-Zugänge [2]. Finanzdaten wie Kreditkartennummern sind nach Unternehmensangaben nicht betroffen [2].
Bemerkenswert ist, dass die Gruppe nach eigenen Angaben einen Teil der Daten zurückhielt: die Reisepläne von rund 200.000 Menschen mit bevorstehenden Reisen. Diese Informationen könnten „eine ideale Gelegenheit für Einbrecher, Stalker und Schlimmeres“ bieten, hieß es in einer Stellungnahme der Gruppe [2]. Zudem behauptet FulcrumSec, im Besitz von Daten prominenter Personen zu sein – darunter Prominente, Journalisten, Abgeordnete, Sportler und mehr als 11.000 NHS-Beschäftigte [2]. Die Echtheit dieser Behauptungen ist unabhängig nicht bestätigt.
Warum der Erpressungsversuch scheiterte
MAG hatte sich geweigert, auf die Lösegeldforderung einzugehen. Das entspricht der Linie britischer Behörden: Die National Crime Agency (NCA) rät Opfern von Erpressungsangriffen seit langem, keine Lösegelder zu zahlen, da dies das Geschäftsmodell der Hacker stützt [1].
Sicherheitsexperten bewerten die Entscheidung als richtig, verweisen aber auf die Folgen. „Es war immer unwahrscheinlich, dass MAG das Lösegeld zahlt, denn das käme einem Geschäft mit Kriminellen gleich – ebenso unwahrscheinlich ist aber, dass die Daten jemals vollständig zurückgegeben worden wären“, sagte Timon Johnson, Sicherheitsberater bei Closed Door Security [2]. Muhammad Yahya Patel von der Sicherheitsfirma Huntress sieht in der kostenlosen Veröffentlichung eine bewusste Strategie: „Fast neun Millionen Datensätze kostenlos zu veröffentlichen, ist nicht nur eine Bestrafung für MAG, sondern eine Marketingkampagne für jedes andere Unternehmen, das zusieht: Zahlt, oder die Daten eurer Kunden gehen an jeden Betrüger im Internet“ [2].
Wie MAG reagiert hat
Der Konzern erklärte, alle Betroffenen kontaktiert zu haben, darunter auch Reisende mit bevorstehenden Buchungen, die zusätzliche Unterstützung erhalten sollen. „MAG ist zuversichtlich, dass wir wirksame Maßnahmen zum Schutz unserer Kunden ergriffen haben“, hieß es in einer Stellungnahme [1] [3]. Das Unternehmen arbeitet nach eigenen Angaben mit Behörden und spezialisierten Beratern zusammen; die körperliche Sicherheit der Passagiere in den Flughäfen sei nicht gefährdet gewesen [1].
Ungewöhnlich ist, dass die Website, auf der die Daten bereitgestellt werden, im offenen Internet und nicht im Darknet gehostet wird. Das macht die Daten leichter zugänglich und erhöht das Risiko für die Betroffenen [1].
Risiken für Betroffene: gezieltes Phishing
Die Kombination aus E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Reisedaten macht die Daten für gezielte Betrugsversuche besonders wertvoll. „Die Daten enthalten sowohl historische Standorte als auch geplante zukünftige Reisen, daher sollten Personen, die Wert auf die Geheimhaltung ihrer Bewegungen legen, Vorsichtsmaßnahmen treffen“, warnte der Cybersicherheitsexperte Kevin Beaumont [1].
Der Sicherheitsforscher David Sancho von TrendAI wies darauf hin, dass die veröffentlichten Informationen „genau die Art von Daten sind, mit denen sich äußerst glaubwürdige Phishing-Kampagnen erstellen lassen, indem man sich auf Informationen bezieht, von denen die Opfer annehmen, dass nur ihr Flughafen oder Buchungsanbieter sie kennt“ [3]. Er riet Reisenden, bei Nachrichten zu bevorstehenden Reisen, Parken, Fast Track, Lounges, Erstattungen oder Zahlungsproblemen misstrauisch zu sein und Links in unaufgeforderten Nachrichten nicht zu folgen [3].
Die britische Datenschutzbehörde ICO empfiehlt Betroffenen, Kontoauszüge und Kreditberichte auf ungewöhnliche Aktivitäten zu prüfen, auf verdächtige E-Mails, Nachrichten und Anrufe zu achten sowie starke Passwörter und Zwei-Faktor-Authentifizierung zu verwenden [1].
Einordnung: Das Geschäftsmodell „steal and squeeze“
FulcrumSec ist eine vergleichsweise junge, finanziell motivierte Erpresserbande, die auch unter dem Namen The Threat Thespians auftritt. Nach Daten des Sicherheitsdienstleisters NCC Group war die Gruppe im Mai 2026 für 23 dokumentierte Angriffe verantwortlich; zu den bekannten Opfern zählen der Pharmakonzern Novo Nordisk, das Ingenieurbüro Arup und der Datenanbieter LexisNexis [2].
Anders als klassische Ransomware-Gruppen verschlüsselt FulcrumSec keine Systeme, sondern stiehlt Daten und setzt auf ein Modell, das die Gruppe selbst als „steal and squeeze“ bezeichnet [2]. Nach Angaben von Sysdig dringt die Gruppe vor allem in Cloud-Umgebungen ein, indem sie hartcodierte Zugangsdaten, ungepatchte Anwendungen oder falsch konfigurierte Speicher nutzt [2]. Im Fall von MAG soll sie nach eigenen Angaben über Iterable-Admin-Schlüssel zugegriffen haben, die im JavaScript-Code der öffentlichen Websites hinterlegt waren [2].
Der Fall zeigt, dass die Weigerung, Lösegeld zu zahlen, die Betroffenen nicht vor den Folgen schützt: Die Daten sind nun frei verfügbar und können von anderen Kriminellen für Betrug und Erpressung genutzt werden. Für die rund 8,7 Millionen Reisenden bedeutet das eine erhöhte Wachsamkeit gegenüber unerwarteten Kontaktversuchen – über einen längeren Zeitraum.