英国マンチェスター空港へのサイバー攻撃でハッカーグループが犯行声明|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月04日更新日時: 2026年09月04日

英国のManchester Airports Group（マンチェスターエアポートグループ：MAG）を巡るサイバーセキュリティインシデントで、サイバー犯罪グループ「FulcrumSec」が犯行声明を出し、盗取したとするデータの一部をリークサイト上で公開したと主張しています。

MAGは2026年8月27日、マンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港に関連する顧客データが、不正な第三者によって取得されたことを公式に認めています。

MAGが確認しているのは、駐車場、ラウンジ、Fast Trackの予約や空港内Wi-Fi登録に関連する情報で、メールアドレス、電話番号、車両登録番号、郵便番号などが含まれます。銀行口座情報や決済情報は、影響を受けたシステムには保存されていなかったとしています。

一方、セキュリティ対策Labが2026年9月2日に確認・取得したFulcrumSecのリークサイト画面では、同グループは「8,672,291件の顧客プロファイル」「2026年9月1日以降の190,849件の予約」「108,077件の車両登録」などを保有していると主張しています。

さらに、空港別データと顧客データベースを合わせ、圧縮前で約550GBに達すると説明しています。

ただし、これらの件数やデータ総量、今後の予約情報が実際にすべてMAGから取得された真正なデータであることを、MAG自身は公式確認していません。

Manchester Airports Group情報流出の続報サマリー

MAGは2026年8月27日、不正な第三者が顧客データを取得したことを公式に確認しました。
対象はマンチェスター空港、ロンドン・スタンステッド空港、イースト・ミッドランズ空港です。
MAGが確認した対象サービスは駐車場、ラウンジ、Fast Track予約、空港内Wi-Fi登録です。
MAGはメールアドレス、電話番号、車両登録番号、郵便番号が取得されたとしています。
銀行・決済情報は影響システムに保存されていなかったとしています。
空港運営、旅客安全、航空保安への影響はないとMAGが説明しています。
FulcrumSecが犯行声明を出し、リークサイト上でデータ公開を主張しています。
FulcrumSecは8,672,291件の顧客プロファイルを保有すると主張しています。
2026年9月1日以降の190,849件の予約情報を含むと主張しています。
108,077件の車両登録情報、2,482,763件の購入イベント、461,433件のSMS関連データなども主張しています。
FulcrumSecは圧縮前データ総量を約550GBとしています。
これらの数字は攻撃者の主張であり、MAGの公式確認件数ではありません。
BleepingComputerは1人分のサンプル記録について実在する旅行履歴との一致を確認したと報じています。
これは全データセットの真正性を証明するものではありません。
侵入経路についてMAGは公表していません。
FulcrumSecは別途、Webサイトのクライアント側JavaScriptに含まれていたIterable API認証情報を利用したと主張していますが、MAGはこの侵入経路を確認していません。
リークサイト上の盗難データ本体は取得せず、犯行声明と公開情報のみを確認しています。

項目	内容
MAG公表日	2026年8月27日
続報確認日	2026年9月2日
対象組織	Manchester Airports Group（MAG）
対象空港	Manchester、London Stansted、East Midlands
公式確認	不正な第三者による顧客データ取得
公式確認情報	メールアドレス、電話番号、車両登録番号、郵便番号など
銀行・決済情報	影響システムには保存されていない
攻撃者	MAGは公式には未公表
犯行声明	FulcrumSec
攻撃者主張の顧客プロファイル	8,672,291件
攻撃者主張の将来予約	190,849件
攻撃者主張の車両登録	108,077件
攻撃者主張のデータ量	圧縮前約550GB
独立検証	BleepingComputerが1人分のサンプルを照合
侵入経路	MAGは非公表
空港運営への影響	なし
航空保安への影響	なし

MAGは顧客データの取得を公式確認

Manchester Airports Groupは8月27日、第三者によるサイバーセキュリティインシデントを公表しました。

影響を受けたのは、Manchester Airport、London Stansted Airport、East Midlands Airportに関連する顧客データです。

MAGの公式声明では「a quantity of customer data has been obtained」とされており、単なる閲覧可能性ではなく、第三者によるデータ取得が確認されています。

対象となったのは、駐車場予約、ラウンジ予約、Fast Track予約、空港内Wi-Fi登録に関連する顧客情報です。

MAGは、メールアドレス、電話番号、車両登録番号、郵便番号がアクセスされた情報に含まれると説明しています。

FulcrumSecが犯行声明

セキュリティ対策Labが確認したFulcrumSecのリークサイトでは、Manchester Airports Groupを対象とする専用ページが公開されています。

英国マンチェスター空港へのサイバー攻撃でハッカーグループが犯行声明

画面上では「THE MANCHESTER AIRPORT LEAKS」と題し、Manchester、London Stansted、East Midlandsの3空港に関連するデータを取得したと主張しています。

FulcrumSecは自らを本件の攻撃者として位置付けています。

ただし、MAGは現在の公式声明でFulcrumSecを攻撃者として認定していません。

したがって、本記事では「FulcrumSecが犯行声明」とし、「FulcrumSecによる攻撃が公式確認された」とは扱いません。

867万2,291件の顧客プロファイルを主張

FulcrumSecのリークサイトでは、顧客データベースに8,672,291件の顧客プロファイルが含まれると主張しています。

空港	攻撃者が主張する顧客プロファイル数
Manchester	4,387,221
London Stansted	3,530,009
East Midlands	755,061
合計	8,672,291

この数字は、これまで英国メディアが報じてきた「約870万人」という規模と近いものです。

一方、MAGの公開FAQと公式声明では、現在も対象人数を具体的に公表していません。

したがって「867万2,291人の情報流出がMAGによって確定した」と表現することはできません。

また、1件の顧客プロファイルが必ず1人のユニークな人物に対応するかも、公開情報だけでは確認できません。

約19万件の「今後の予約」を保有と主張

今回の犯行声明で特に注意が必要なのが、FulcrumSecが190,849件の「2026年9月1日以降の予約」を含むと主張している点です。

リークサイトでは、将来の旅行予定と個人情報や車両情報が結び付くことで、窃盗やストーカーなどのリスクにつながる可能性があるとの主張も掲載されています。

ただし、FulcrumSecが示した190,849件がすべて現在有効な予約なのか、キャンセル済みや変更済みの予約を含むのかは確認できません。

また、MAGは公式には「今後の旅行スケジュール約19万件が流出した」と公表していません。

そのため、この数字は攻撃者側の主張として扱う必要があります。

旅行日程と住所が結び付く場合のリスク

もし攻撃者の主張どおり、今後の旅行予定、郵便番号、氏名、連絡先、車両登録情報などが同一人物単位で結び付いている場合、通常のメールアドレス漏えいよりリスクは高くなります。

例えば、実際の予約日を使ったフィッシング、Fast Trackや駐車場予約変更を装うSMS、旅行中の不在を推測した詐欺などが想定されます。

ただし、こうした二次被害が実際に発生したとMAGが公表しているわけではありません。

現時点では、漏えい情報の性質から想定されるリスクです。

11億件超のイベントデータを主張

FulcrumSecは顧客プロファイル以外にも、マーケティングプラットフォーム上の大量のイベントデータを取得したと主張しています。

添付されたリークサイト画面では、合計約11億6,900万件のイベントデータが存在するとしています。

空港別では、London Stanstedが約6億325万件、Manchesterが約4億8,402万件、East Midlandsが約8,203万件と記載されています。

ここでいう「event」は人の数ではありません。

マーケティングプラットフォーム上では、一人の利用者について複数のイベントが記録される場合があります。

したがって、約11億件という数字を「11億人分のデータ」と表現することはできません。

購入イベント248万件、SMS関連46万件なども主張

FulcrumSecはそのほか、2,482,763件の購入イベント、461,433件のレンダリング済みSMS、1,672件の会社住所を含む旅客データ、3つのマーケティングプロジェクトの設定情報などを取得したと主張しています。

これらについてもMAGによる公式確認はありません。

特に「購入イベント」は決済カード情報を意味するものではありません。

MAGは、同社およびアクセスされたシステムには顧客の銀行・決済情報を保管していないと明言しています。

攻撃者は圧縮前約550GBと主張

FulcrumSecのリークサイトには、4つのアーカイブファイルが表示されています。

攻撃者が示したアーカイブ	表示サイズ
Stansted	36.4GB
Manchester	29.6GB
East Midlands	5.0GB
顧客データベース	3.6GB

これらは圧縮ファイルとして表示されており、FulcrumSecは展開後の総データ量が約550GBになると主張しています。

リークページ上部では約549GBとも表示されており、表記には若干の差があります。

なお、盗難データが置かれているとするダウンロードリンクにはアクセスしておらず、データ本体の取得・確認は行っていません。

MAGは空港運営・航空保安への影響を否定

MAGは空港運営への影響はないとしています。

Manchester、London Stansted、East Midlandsの各空港は通常運用を継続しており、旅客安全や航空保安への影響もないと説明しています。

今回確認されているのは顧客向けサービスに関連するデータ侵害であり、航空管制、保安検査、手荷物処理、航空機運航、滑走路設備などのOT・空港運用システムが侵害されたとの発表ではありません。

既存記事から何が変わったか

セキュリティ対策Labでは8月31日、本件の第一報を記事化しています。

英国マンチェスターなど、3空港で約870万人の個人情報流出の恐れ

今回の続報で新たに加わったのは、FulcrumSecによる犯行声明、具体的なデータ件数の主張、リークサイト上での公開主張、約19万件の将来予約を含むとの主張、BleepingComputerによる一部サンプルの照合、Iterable API認証情報を利用したとの侵入経路主張です。

一方、MAG自身の公式情報として侵入経路、攻撃者、867万件という件数が確認されたわけではありません。

情報システム・セキュリティ部門への示唆

今回の事案で注意すべきなのは、空港のような重要インフラでも、航空保安システムではなく顧客向けマーケティング・予約基盤から大規模なデータ流出が発生し得る点です。

企業では、CRM、MA、CDP、予約システム、Wi-Fi登録、キャンペーン基盤などが数百万人規模の情報を長期間蓄積している場合があります。

特に、クライアント側JavaScriptにAPIキーやトークンを埋め込んでいないか、ブラウザーへ配布される認証情報に不要な権限がないか、APIキーにIP制限・スコープ制限・有効期限があるか、MA／CRM基盤の管理APIがインターネットから利用可能か、APIアクセスログから大量取得を検知できるかを確認する必要があります。

また、旅行、出張、イベント参加、宿泊などの予定情報は、住所情報と組み合わせることで「いつ不在になるか」を推測する材料になり得ます。

旅行・交通・宿泊・イベント事業者では、予定情報を単なる予約データではなく、利用者の行動履歴・将来予定を含む高感度データとして管理する必要があります。

今回の続報では攻撃者の主張が具体化しましたが、全データセットを独自に取得・検証する必要はありません。

犯罪者が公開する盗難データへアクセスするのではなく、公式発表、信頼できる第三者検証、自社ログ、影響顧客の情報を組み合わせて事実確認を進めることが重要です。