Il conto salato del Wi-Fi gratuito: 8,7 milioni di passeggeri esposti

Sotto attacco gli scali del Manchester Airports Group — Stansted, Manchester ed East Midlands. Nel bottino indirizzi e-mail, numeri di telefono, CAP e targhe di chi si era registrato alle reti dei terminal. L'Agenzia per la cybersicurezza nazionale avverte: possibile che siano finiti nel mirino anche dati di cittadini italiani

C’è un gesto che quasi tutti compiono in aeroporto, tra un imbarco e l’altro: aprire le impostazioni del telefono e agganciarsi alla rete senza fili dello scalo, di norma gratuita per un paio d’ore, pur di risparmiare traffico dati. Quel gesto, questa estate, ha avuto un costo.

Nel fine settimana del 22 e 23 agosto il Manchester Airports Group (MAG), il maggiore operatore aeroportuale del Regno Unito, ha subito un’intrusione informatica da parte di un soggetto terzo non autorizzato. Gli aeroporti interessati sono tre: Manchester, East Midlands e London Stansted, quest’ultimo particolarmente rilevante per il traffico da e verso l’Italia, essendo uno degli hub principali di Ryanair nella capitale britannica.

Che cosa è stato sottratto

Secondo quanto reso noto dallo stesso gruppo, la violazione riguarda i dati di circa 8,7 milioni di clienti. Gli archivi compromessi sono quelli dei servizi accessori: prenotazioni dei parcheggi, accessi alle lounge, corsie preferenziali Fast Track e, soprattutto, le registrazioni al Wi-Fi dei terminal. Le informazioni finite in mano agli attaccanti comprendono indirizzi di posta elettronica, numeri di telefono, codici postali e targhe dei veicoli.

Il MAG ha precisato che non risultano compromessi dati bancari o di pagamento e che né la sicurezza dei passeggeri né quella del volo sono state messe a rischio; le operazioni aeroportuali non hanno subito interruzioni. Il gruppo ha dichiarato di aver contenuto immediatamente l’incidente, di essersi avvalso di consulenti specializzati e di aver informato le autorità competenti, respingendo la richiesta di riscatto avanzata dagli autori dell’attacco.

L’avviso dell’ACN

Con una comunicazione del 29 agosto 2026 l’Agenzia per la cybersicurezza nazionale, tramite lo CSIRT Italia, ha chiarito due punti. Il primo: non emergono, allo stato, evidenze di incidenti analoghi in corso presso gli scali italiani. Il secondo, più delicato: non può escludersi che informazioni riferibili a cittadini italiani transitati negli aeroporti britannici coinvolti siano state acquisite dagli aggressori. Alcune stime giornalistiche, costruite sui flussi di traffico aereo, ipotizzano un coinvolgimento nell’ordine delle duecentomila persone.

Da qui la raccomandazione: massima attenzione verso e-mail, SMS e telefonate sospette, nessuna apertura di allegati e nessun clic su link contenuti in comunicazioni dubbie. L’Agenzia sconsiglia inoltre di compiere operazioni sensibili su reti Wi-Fi pubbliche e suggerisce, ove necessario, di attivare preventivamente una VPN affidabile.

Perché interessa i professionisti

Presi singolarmente, un indirizzo e-mail o un CAP sembrano dati innocui. Aggregati, e collegati al passaggio in un determinato aeroporto in una determinata data, diventano la materia prima ideale per campagne di social engineering costruite su misura: il finto rimborso del parcheggio, la finta comunicazione della compagnia aerea, la finta multa collegata alla targa. È la fase in cui una violazione dei dati smette di essere un problema altrui e diventa un tentativo di truffa personalizzato.

Il punto merita attenzione particolare per chi viaggia con un dispositivo che contiene corrispondenza professionale, atti e dati di clienti. L’avvocato che si collega alla rete aperta di uno scalo espone, insieme al proprio indirizzo, un perimetro informativo coperto dal segreto professionale e presidiato dagli obblighi di sicurezza del trattamento di cui all’art. 32 del Regolamento (UE) 2016/679. La scelta della connessione, in questa prospettiva, non è una questione di comodità ma una misura tecnica e organizzativa.

Regole minime di sopravvivenza

Nessuna risposta impulsiva, per quanto urgente o allarmante si presenti il messaggio. Nessuna richiamata ai numeri esteri sconosciuti, che vanno semplicemente bloccati con le funzioni native del telefono. Nessun allegato aperto e nessun link seguito. Nessuna comunicazione di password, codici temporanei o coordinate bancarie: nessun operatore legittimo le chiede per telefono o via messaggio.

Chi ritiene di essere stato bersaglio di un tentativo di truffa può segnalarlo alla Polizia Postale attraverso il Commissariato di P.S. online. E chi si accorge di un utilizzo illecito dei propri dati conserva, nei confronti del titolare del trattamento, gli strumenti di tutela previsti dal Capo VIII del GDPR, compreso il diritto al risarcimento del danno.