Manchester Airports Group, propietario de los aeropuertos de Manchester, London Stansted y East Midlands, ha sufrido un incidente de ciberseguridad que habría comprometido información de millones de clientes. Expertos advierten de que el verdadero peligro puede comenzar ahora: los datos robados podrían alimentar campañas de phishing y suplantación cada vez más personalizadas gracias a la inteligencia artificial.

El sector aeroportuario británico vuelve a situarse en el punto de mira de los ciberdelincuentes. Manchester Airports Group (MAG), grupo responsable de los aeropuertos de Manchester, London Stansted y East Midlands, ha sufrido un ciberataque que habría provocado el robo de información correspondiente a aproximadamente 8,7 millones de clientes.

Los atacantes llegaron a presentar una exigencia de rescate, aunque MAG habría rechazado realizar el pago. Tras detectar el incidente, el grupo aseguró haber contenido el riesgo y puesto en marcha medidas de protección con el apoyo de especialistas, además de informar y colaborar con las autoridades competentes.

Pese a la magnitud del ataque, las operaciones aéreas no se habrían visto afectadas. Sin embargo, el alcance del incidente traslada ahora la preocupación desde la continuidad operativa hacia otro terreno especialmente sensible: qué pueden hacer los ciberdelincuentes con millones de datos personales una vez que están en sus manos.

El ataque puede haber terminado, pero el riesgo no

Información como direcciones de correo electrónico, números de teléfono, códigos postales o matrículas de vehículos puede parecer menos crítica que unas credenciales bancarias. En manos de un atacante, sin embargo, puede convertirse en la materia prima perfecta para construir fraudes extremadamente convincentes.

Mick Leach, Field CISO de Abnormal AI, advierte de que esta información permite contextualizar los intentos de engaño. Un supuesto correo del aeropuerto relacionado con una reserva, un reembolso, el aparcamiento o la matrícula de un vehículo resulta mucho más creíble cuando incorpora datos personales que la víctima reconoce como verdaderos.

La llegada de la IA generativa aumenta todavía más este riesgo. Los delincuentes pueden automatizar la creación de mensajes personalizados, adaptar el lenguaje a cada víctima y desplegar campañas de suplantación a gran escala sin renunciar a un elevado nivel de detalle.

El incidente demuestra así que la exposición de información no termina cuando una organización consigue contener una intrusión. Puede abrir una segunda fase del ataque, dirigida directamente contra clientes y usuarios.

Un fraude de nueve libras puede ser suficiente

Otro de los riesgos es que los ciberdelincuentes no tienen por qué utilizar inmediatamente la información obtenida.

Gavin Millard, vicepresidente de Inteligencia de Tenable, señala que los atacantes pueden conservar los datos durante meses y esperar hasta que el incidente haya desaparecido de la actualidad. Es entonces cuando un mensaje aparentemente rutinario puede resultar especialmente efectivo.

El ejemplo es sencillo: un SMS que reclame una pequeña cantidad por haber excedido el tiempo de estacionamiento en un aeropuerto. Una cifra reducida puede despertar menos sospechas y llevar a la víctima hasta una página de pago fraudulenta. El objetivo real no serían esas pocas libras, sino conseguir los datos de su tarjeta bancaria.

Esta estrategia muestra cómo la información robada puede mantener su valor mucho después de producirse una brecha. Para los usuarios afectados, por tanto, la vigilancia no debería limitarse a los días inmediatamente posteriores al incidente.

Infraestructuras críticas frente a amenazas que avanzan a “velocidad de máquina”

El ataque también vuelve a poner sobre la mesa la presión creciente que soportan las infraestructuras esenciales.

Pravesh Kara, director de Cyber Resilience Services de Advania UK, apunta a una creciente diferencia entre la velocidad de las amenazas y la capacidad de respuesta de muchas compañías: mientras numerosas organizaciones continúan operando a ritmos fundamentalmente humanos, la automatización y la IA permiten que determinadas amenazas evolucionen y se ejecuten a una velocidad mucho mayor.

En este escenario, la resiliencia deja de poder entenderse únicamente como la capacidad de reaccionar después de un incidente. La anticipación, los planes de contingencia y la preparación previa pasan a ocupar un lugar central.

El caso de MAG resulta especialmente significativo porque afecta a una compañía vinculada a infraestructuras que utilizan diariamente miles de personas. Aunque los vuelos hayan continuado funcionando, una brecha de estas dimensiones evidencia que el impacto de un ciberataque puede extenderse mucho más allá de la interrupción inmediata de un servicio.

Tecnología, procesos y personas

Dhruva Pudel, responsable de Ciberseguridad de Skillcast, señala precisamente que las organizaciones británicas operan en un escenario de amenazas cada vez más hostil y sofisticado.

Los atacantes no siempre necesitan vulnerabilidades extraordinariamente complejas para acceder a una organización. Una política mal aplicada, un procedimiento insuficiente o un error humano pueden proporcionar la oportunidad necesaria.

Por ello, la inversión tecnológica representa únicamente una parte de la respuesta. La formación continua, unos procedimientos claros y una plantilla capaz de detectar comportamientos sospechosos son elementos fundamentales para construir una verdadera cultura de ciberresiliencia.

De la brecha de datos al fraude hiperpersonalizado

El incidente de Manchester Airports Group refleja una evolución que preocupa especialmente a los responsables de seguridad: el valor de una brecha ya no puede medirse únicamente por la sensibilidad individual de cada dato robado, sino por la capacidad de combinar diferentes piezas de información para construir identidades digitales cada vez más completas.

Una matrícula, un teléfono, un correo electrónico o un código postal pueden parecer datos aislados. Juntos permiten conocer suficiente contexto sobre una persona como para diseñar una comunicación difícil de distinguir de una legítima.

Y con la inteligencia artificial reduciendo drásticamente el esfuerzo necesario para personalizar esos mensajes, la escala del problema cambia.

Para los cerca de 8,7 millones de clientes potencialmente afectados, la recomendación es clara: extremar las precauciones ante correos electrónicos, SMS o llamadas inesperadas relacionadas con aeropuertos, reservas, aparcamientos, devoluciones o pagos pendientes. Que una comunicación incluya información personal correcta ya no constituye una garantía de autenticidad.

El ataque contra MAG deja así una lección que trasciende al sector aeroportuario: contener una brecha puede cerrar la puerta al atacante dentro de la organización, pero no necesariamente pone fin al ataque. Cuando los datos ya han salido, el siguiente objetivo puede ser directamente el usuario.