英国 マンチェスターなど、3空港でサイバー攻撃により約870万人の個人情報流出の恐れ

英国のマンチェスター・エアポーツ・グループ（MAG）は2026年8月27日、第三者によるサイバーセキュリティインシデントが発生し、マンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港に関連する顧客データの一部が取得されたと公表しました。

流出が確認されたのは、駐車場、ラウンジ、Fast Trackの予約と、空港内Wi-Fiの登録に関連する顧客情報です。MAGは、メールアドレス、電話番号、車両登録番号、郵便番号がアクセスされたとしています。

一方、MAGの公式声明と各空港のFAQでは、対象人数を具体的に公表していません。Hackreadや複数の英国メディアは約870万人が影響を受けたと報じていますが、MAGの公開ページでは「a quantity of customer data」とされているため、本稿では約870万人を公式確定件数とは扱いません。

MAGによると、影響を受けたシステムには銀行口座情報や決済情報は保管されておらず、旅客の安全や航空保安への影響もありません。空港運営や駐車場サービスにも運用上の障害は発生していません。

マンチェスター・エアポーツ・グループ（MAG）の情報漏えいサマリー

• マンチェスター・エアポーツ・グループ（MAG）は2026年8月27日、第三者によるサイバーセキュリティインシデントを公表しました。
• 対象となったのはマンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港です。
• 不正な第三者が顧客データを取得したことをMAGが確認しています。
• 対象データは、駐車場、ラウンジ、Fast Trackの予約と、空港内Wi-Fi登録に関連する情報です。
• アクセスされた情報には、メールアドレス、電話番号、車両登録番号、郵便番号が含まれます。
• 銀行口座情報や決済情報は、MAGおよび影響を受けたシステムには保存されていないとしています。
• 旅客の安全や航空保安への影響は確認されていません。
• 空港運営や顧客向け駐車場サービスへの運用上の障害も発生していません。
• MAGは影響を受けたシステムへのアクセスを制限し、専門のサイバーセキュリティ企業と対応を進めています。
• 関係当局への通知を行ったとしていますが、公表資料では当局名を明示していません。
• 影響を受けた顧客には直接連絡を行っています。
• オンラインの「Manage My Booking」は予防措置として一時停止されました。
• MAGの公式公表では対象人数を明示していません。
• 約870万人という数字はHackreadや英国メディアが報じているものです。
• 侵入経路、攻撃者、侵入期間、ランサムウェアの有無は公式声明では公表されていません。

項目	内容
公表日	2026年8月27日
対象組織	マンチェスター・エアポーツ・グループ（MAG）
対象空港	マンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港
インシデント	不正な第三者によるサイバーセキュリティインシデント
情報流出	顧客データの取得をMAGが確認
対象サービス	駐車場、ラウンジ、Fast Track、空港内Wi-Fi
流出が確認された情報	メールアドレス、電話番号、車両登録番号、郵便番号
銀行・決済情報	影響を受けたシステムには保管されていない
対象件数	MAG公式ページでは非公表。約870万人と複数メディアが報道
発生日・確認日	公式公表では確認できませんでした
侵入経路	公表されていません
攻撃者	公表されていません
ランサムウェア	公式公表では確認できませんでした
航空保安への影響	なし
空港運営への影響	なし
対応状況	アクセス制限、専門家による調査、関係当局への通知
個人情報保護当局への報告	「関係当局へ通知」と公表。具体的な当局名は非公表

マンチェスター、スタンステッド、イースト・ミッドランズの3空港が対象

MAGは英国でマンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港を運営しています。

8月27日の公式声明では、この3空港に関連する顧客データが不正な第三者によって取得されたとしています。

対象となったのは航空機の運航システムや航空保安システムではなく、顧客向けサービスに関連する情報です。

MAGは、駐車場、空港ラウンジ、Fast Trackの予約と、空港内Wi-Fiへの登録に関連するデータが対象になったと説明しています。

そのため、本件は「空港の運航システムが乗っ取られた」「航空管制や保安検査システムが侵害された」といった事案ではありません。

MAG自身も、旅客の安全や航空保安が損なわれたことはなく、空港運営にも影響していないと明示しています。

メールアドレス、電話番号、車両登録番号、郵便番号が流出

MAGが公式に「アクセスされた」としている情報は、メールアドレス、電話番号、車両登録番号、郵便番号です。

すべての顧客について、すべての項目が流出したと公表されているわけではありません。

HackreadはMAGへの取材情報として、影響データの大部分は空港Wi-Fi登録に関連するメールアドレスだったと報じています。

駐車場を利用した顧客の場合は車両登録番号、予約サービスを利用した顧客では電話番号や郵便番号など、利用したサービスによって保持されていた情報が異なる可能性があります。

そのため、「約870万人についてメールアドレス、電話番号、車両番号、郵便番号のすべてが流出した」と解釈するのは適切ではありません。

銀行口座・決済情報は影響システムに保管されず

MAGは、同社および今回アクセスされたシステムには、顧客の銀行口座情報や決済情報を保管していないと説明しています。

したがって、現時点の公式情報では、クレジットカード番号や銀行口座情報が今回の流出対象だったとは確認されていません。

一方、これは「流出した情報にリスクがない」という意味ではありません。

メールアドレス、電話番号、郵便番号、車両登録番号などは、フィッシングやなりすまし、ソーシャルエンジニアリングに利用される可能性があります。

特に攻撃者が「空港の駐車場予約」「Fast Track」「ラウンジ予約」など利用者が実際に利用したサービスを装うと、一般的な迷惑メールより説得力のある詐欺メッセージを作成できる可能性があります。

約870万人は報道ベース、MAG公式ページは件数を公表せず

Hackreadは、今回の事案で約870万人の顧客が影響を受けたと報じています。

ITV Newsなどの英国メディアも、MAGが約870万人に通知メールを送信したと報じています。

一方、MAGが8月27日に公開した公式声明と各空港のFAQには、870万人という数字は記載されていません。

公式資料の表現は「a quantity of customer data」で、具体的な件数は示されていません。

このため、本稿では「約870万人の情報漏えいがMAG公式発表で確定した」とは扱いません。

現時点では、

• 顧客データが第三者に取得されたことはMAGが公式確認
• 流出情報の種類もMAGが公式確認
• 約870万人という対象規模は複数メディアが報道
• MAGの公開ページでは対象件数を明示していない

という区別が必要です。

侵入経路と攻撃者は未公表

MAGの公式声明では、攻撃者がどのようにシステムへ侵入したのかは明らかにされていません。

認証情報の窃取、脆弱性悪用、委託先・サプライチェーン経由の侵入、フィッシングなど、具体的な侵入経路について公表はありません。

攻撃者の名称や属性も明らかにされていません。

また、MAGの公式声明では、ランサムウェア感染やデータ暗号化についての記載もありません。

一部英国メディアは、攻撃者が身代金を要求しMAGが支払いを拒否したと報じていますが、MAGの公開声明では身代金要求について説明していません。

このため、現時点で本件を「ランサムウェア被害」と断定することはできません。

空港運営と航空保安への影響なし

MAGは、今回のインシデントによって旅客の安全や航空保安が損なわれたことはないとしています。

空港運営にも支障はなく、マンチェスター、スタンステッド、イースト・ミッドランズの3空港は通常通り運用されています。

顧客向け駐車場サービスも継続しています。

航空業界のサイバーインシデントでは、旅客予約・顧客情報を扱うITシステムと、航空機運航、手荷物処理、保安検査、空港設備などの運用系システムを区別する必要があります。

今回MAGが公表している範囲では、侵害は顧客データを扱うシステムに関係しており、空港の運用システムへの侵害は確認されていません。

「Manage My Booking」は予防措置として一時停止

空港運営自体には影響していないものの、MAGは予防措置としてオンラインの「Manage My Booking」へのアクセスを一時停止しました。

既存の予約は有効で、顧客が予約について特別な操作をする必要はないとしています。

一方、直近72時間以内の予約を変更・キャンセルする必要がある利用者については、カスタマーサービスへ連絡するよう案内しています。

MAGは今回の事案を理由とする予約変更やキャンセルについて、手数料なしで対応し、キャンセル時は返金するとしています。

影響顧客へ直接通知、不審なメールや電話に注意喚起

MAGは影響を受けた顧客へ直接連絡を行っています。

同社は、顧客に対して不審なメール、SMS、電話に注意するよう呼びかけています。

想定されるリスクとしては、MAGや各空港を装ったフィッシングメール、駐車場予約やFast Trackの変更を装ったメッセージ、架空の返金・追加料金請求などがあります。

ただし、こうした二次被害が実際に発生したとMAGが公表しているわけではありません。

MAGは、同社が予告なく顧客へ連絡し、決済カード情報、銀行情報、パスワードを要求することはないと説明しています。

利用者は、メールやSMS内のリンクから手続きを行うのではなく、空港の公式サイトなど信頼できる経路から情報を確認することが重要です。

関係当局へ通知、専門家と調査を継続

MAGはインシデント把握後、影響を受けたシステムへのアクセスを制限し、専門のサイバーセキュリティ企業を起用しました。

また、関係当局へ通知し、連携して対応しているとしています。

各空港のFAQでは、MAGのData Protectionチームが対応を監督し、法的義務に沿って調査を進めていると説明しています。

一方、公開資料では通知先となった当局の具体的な名称は示されていません。

そのため、英国Information Commissioner’s Office（ICO）やNational Cyber Security Centre（NCSC）への正式な報告・対応状況について、MAGの公開資料だけから個別に断定することはできません。

重要インフラでも顧客向けITと運用系を分離して評価する必要

空港は重要インフラとして扱われる一方、一つの空港組織の中には多数のIT・OTシステムが存在します。

顧客向けWi-Fi、駐車場予約、ラウンジ予約、EC、CRMなどのシステムと、航空保安、手荷物処理、空港設備、航空機運航などのシステムでは、リスクも影響も異なります。

今回MAGは、航空保安や空港運用システムへの影響はないとしています。

したがって、「3空港がサイバー攻撃で機能停止した」といった表現は事実と異なります。

一方で、顧客向けシステムでも数百万人規模の情報を保有していれば、大規模な情報漏えいにつながる可能性があります。

重要インフラ事業者では、運用系システムだけでなく、Wi-Fi登録、予約、駐車場、会員サービスなど周辺システムも含めてセキュリティ管理を行う必要があります。

情報システム・セキュリティ部門への示唆

今回の事案では、空港運用や航空保安への影響はなかった一方、顧客向けサービスから大量の個人情報が取得されました。

企業の情報システム部門では、「基幹システムではない」「顧客向けの付帯サービスだから影響は限定的」と判断しないことが重要です。

Wi-Fi登録、駐車場、予約、キャンペーン、会員サービスなどは、一件あたりの情報量が少なくても、長期間の蓄積によって数百万件規模になる場合があります。

まず、各システムで保有するデータの種類と件数、保存期間を把握し、業務上不要になったデータを削除するデータ最小化が必要です。

次に、顧客向けシステムと空港運用・重要業務システムをネットワーク、ID、管理アカウント、クラウドアカウントなどの面で分離し、一方の侵害が他方へ波及しない構成にする必要があります。

また、インシデント発生時には「アクセスされた可能性」と「第三者が取得したことが確認された状態」を区別することが重要です。

今回MAGは顧客データが第三者に「obtained」されたと公表しており、単なるアクセス可能性の話ではありません。

一方、約870万人という件数や身代金要求については公式公開資料で確認できないため、二次報道と公式確認事項を分ける必要があります。

セキュリティ対策Labでは、国内空港関連事業者の情報漏えい事例として、関西エアポートの法人向けサービス「GBC」への不正アクセスや、中部国際空港の安全eラーニングサイトへの不正アクセスについても紹介しています。

• 関西エアポート、法人向けサービス「GBC」に不正アクセス　会員1万件超の個人情報が漏洩の可能性
• 中部国際空港の安全eラーニングサイトが不正アクセス被害、約2万4千件超の個人情報が漏洩の可能性

出典

• MAG statement on cyber security incident – マンチェスター・エアポーツ・グループ（MAG）
• Data Security Incident – マンチェスター空港
• Data Security Incident – ロンドン・スタンステッド空港
• Data Security Incident – イースト・ミッドランズ空港
• Data Breach Affects 8.7 Million Customers of Three UK Airports – Hackread
• Millions of customers’ data accessed after cyber attack on マンチェスター・エアポーツ・グループ（MAG） – ITV News
• 関西エアポート、法人向けサービス「GBC」に不正アクセス　会員1万件超の個人情報が漏洩の可能性 – セキュリティ対策Lab
• 中部国際空港の安全eラーニングサイトが不正アクセス被害、約2万4千件超の個人情報が漏洩の可能性 – セキュリティ対策Lab