Le propriétaire de l'aéroport de Londres Stansted a été la cible d'une cyberattaque au cours de laquelle des données de clients ont été dérobées.

Manchester Airport Group (MAG), qui exploite les aéroports de Stansted, East Midlands et Manchester, a déclaré jeudi que les adresses e-mail, numéros de téléphone, immatriculations de véhicules et codes postaux des clients avaient été saisis lors d'un « incident de cybersécurité causé par un tiers non autorisé ».

La nature des données exposées — qui comprennent des immatriculations de véhicules et des codes postaux généralement associés aux réservations de parking aéroportuaire — rend l'incident particulièrement pertinent pour les clients ayant utilisé les services de parking ou de réservation de l'aéroport, même si MAG n'a pas précisé quel système a été compromis.

« Nous avons immédiatement contenu le risque et travaillons avec des conseillers spécialisés en prenant les mesures appropriées pour protéger nos clients et nos systèmes », a déclaré le groupe.

Les clients notifiés par l'entreprise ont été informés que le système auquel les pirates ont accédé ne contenait aucune donnée bancaire ou de paiement. Environ 8,7 millions de clients seraient concernés.

Dans un e-mail adressé aux clients, Stansted a écrit : « Nous vous invitons à être particulièrement vigilant face aux e-mails, appels ou SMS inattendus prétendant provenir de nous. Nous ne vous contacterons jamais de manière inattendue pour vous demander un paiement ou des informations bancaires. Nous nous excusons pour tout désagrément ou préoccupation que cela pourrait causer. »

Cet avertissement reflète un schéma courant après les fuites de données, où des criminels utilisent les coordonnées volées pour mener des campagnes de phishing en se faisant passer pour l'organisation touchée.

MAG a indiqué n'avoir pris connaissance de l'incident que mardi et avoir agi rapidement pour empêcher les pirates d'obtenir un accès supplémentaire. Les opérations aéroportuaires restent « non affectées », a-t-elle ajouté.

Les pirates ont été identifiés et les autorités compétentes ont été informées, selon le groupe. En vertu de la législation britannique sur la protection des données, les organisations doivent signaler certaines violations de données personnelles à l'Information Commissioner's Office (ICO) dans les 72 heures suivant leur découverte, et le régulateur a le pouvoir d'infliger des amendes substantielles.

Cette violation survient alors que les preuves du coût financier de la cybercriminalité pour les grandes entreprises britanniques s'accumulent. Des chiffres publiés plus tôt cette année ont révélé que les grandes entreprises britanniques ont dû dépenser 3,7 milliards de livres pour se défendre contre des actions en justice intentées par des actionnaires à la suite de cyberattaques l'an dernier.

Des recherches menées par le géant de l'assurance Gallagher et le Centre for Economics and Business Research (CEBR) montrent que les cyberattaques ont coûté environ 11,7 milliards de livres au total aux entreprises de plus de 250 salariés. Le contentieux constituait le deuxième poste de dépenses, derrière une perte directe de 5,4 milliards de lires liée aux perturbations de l'activité. Les actifs perdus représentaient 1,3 milliard de livres supplémentaires, tandis que les amendes réglementaires se sont élevées à 108 millions de livres.

Les entreprises ont également perdu 573 millions de livres en coûts liés aux dommages reputationnels, ainsi que près de 400 millions de livres de revenus en raison de clients résiliant leurs contrats, réduisant leurs dépenses ou se tournant vers des fournisseurs alternatifs après de tels incidents.