الجهة المستهدفة: مجموعة مطارات مانشستر (MAG) (مطار مانشستر، ومطار لندن ستانستد، ومطار إيست ميدلاندز)

تاريخ الكشف: 27 أغسطس 2026

التقييم التنفيذي

في 27 أغسطس 2026، كشفت مجموعة مطارات مانشستر (MAG)، المشغلة لمطار مانشستر (EGCC/MAN)، ومطار لندن ستانستد (EGSS/STN)، ومطار إيست ميدلاندز (EGNX/EMA)، عن حادث أمني سيبراني جسيم. أدى هذا الاختراق إلى تعرض قاعدة بيانات مركزية مخصصة للعملاء تخدم مراكز النقل الثلاثة للخطر، مما أدى إلى كشف السجلات الشخصية المرتبطة بـ 8.7 ملايين فرد تقريباً.

ملخص الحادث الاستراتيجي

• ماذا حدث: اخترق طرف ثالث غير مصرح له نظاماً خلفياً يستضيف تفاعلات العملاء عبر الخدمات المساعدة للمطارات.

• الجهة المستهدفة: البنية التحتية للخدمات الرقمية التجارية والخاصة بالمسافرين لمجموعة مطارات مانشستر (MAG).

• هدف المهاجم: تتوافق التقارير المتاحة مع سيناريو ابتزاز البيانات بدافع مالي. ومع ذلك، من المهم الإشارة إلى أن المهاجم ربما استخدم طلب الفدية كتمويه لمنع التحقيق في الهدف الحقيقي. وفي بعض حالات طلب الفدية، كشفت تحقيقات Shieldworkz أن الجهات التهديدية كانت تسعى وراء بيانات أفراد محددين، ولكن الهجوم صيغ كعملية ذات دافع مالي.    

• البيانات المؤكد الوصول إليها/المخترقة: سجلات البيانات الشخصية (PDRs) بما في ذلك عناوين البريد الإلكتروني، وأرقام الهواتف، وأرقام تسجيل المركبات (VRNs/VRMs)، والرموز البريدية المرتبطة بحجز مواقف السيارات، والمسار السريع، وحجوزات الصالات، وتسجيلات شبكة الواي فاي (Wi-Fi) في مبنى الركاب.

• البيانات المؤكد عدم تأثرها: عمليات الطيران الرئيسية، وواجهات المراقبة الجوية (ATC)، ومعالجة المسافرين (أنظمة التحكم في المغادرة)، وأنظمة مناولة الحقائب (BHS)، ومنصات معالجة الدفع/البيانات المالية، والبنية التحتية للسلامة المادية للطيران.

• ما يزال مجهولاً: ناقل الوصول الأولي (IAV)، وآليات الاستمرار الدقيقة، وهوية/تبعية مجموعة الجهة التهديدية، ومدة بقاء المهاجمين قبل الاكتشاف، وما إذا كان قد تم تسريب البيانات بالكامل أم تم الوصول إليها في موقعها فحسب.

• الأهمية الاستراتيجية: يوضح الحادث بشكل أساسي مساحة المخاطر المنفصلة المرتبطة بمشغلي المطارات الحديثة. وبينما تظل تكنولوجيا العمليات وأنظمة التحكم الصناعي (OT/ICS) والشبكات الحساسة للسلامة مجزأة بشكل صارم، فإن المنصات التجارية لتجميع الخدمات المساعدة تجمع بيانات مستهلكين عالية الكثافة وقابلة لتحديد الهوية (مثل مطابقة تسجيلات المركبات بالرموز البريدية السكنية الفعلية). وهذا يخلق هدفاً سهلاً وعالي القيمة لابتزاز البيانات دون الحاجة إلى اختراق الحدود التشغيلية الخاضعة لرقابة صارمة.

تأثر ما يقرب من 8.7 ملايين فرد. ومع ذلك، لم تكن الحقول المكشوفة موجودة بالضرورة لكل فرد. وتشير التقارير العامة التي راجعتها Shieldworkz إلى أن غالبية السجلات المتأثرة تضمنت عناوين البريد الإلكتروني، مع وجود مجموعات فرعية أصغر تحتوي على حقول إضافية مثل أرقام الهواتف، والرموز البريدية، وأرقام تسجيل المركبات.

الحادث

خلال عطلة نهاية الأسبوع التي سبقت 25 أغسطس 2026، تمكنت جهة تهديدية من الوصول غير المصرح به إلى نظام خلفي للمؤسسة يتم تشغيله بواسطة MAG أو نيابة عنها. وكان النظام يدمج سجلات الحجز وتسجيلات الدخول إلى البوابة لمطارات مانشستر، ولندن ستانستد، وإيست ميدلاندز.

اكتشف فريق مراقبة الأمن في MAG نشاطاً مشبوهاً يتعلق بالنظام في يوم الثلاثاء، 25 أغسطس 2026 أو قريباً منه. وفور الاكتشاف، قام الفريق بعزل البيئة المتأثرة، وتقييد الوصول العام إلى واجهات إدارة الحسابات عبر الإنترنت ("إدارة حجزي")، والاستعانة بمتخصصين خارجيين في التحقيقات الرقمية والاستجابة للحوادث (DFIR) للتحقيق.

بالتوازي مع ذلك، بدأ المشغل في إرسال إخطارات الحوادث القانونية إلى المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) ومكتب مفوض المعلومات (ICO). وبدأت إشعارات العملاء المباشرة عبر البريد الإلكتروني في 27 أغسطس 2026، ونصحت المسافرين بالاستعداد لمحاولات التصيد الاحتيالي والهندسة الاجتماعية الثانوية.

ما نعرفه وما يزال مجهولاً

للحفاظ على نزاهة التحليل، تم تصنيف النتائج بشكل صارم وفقاً لحالة الأدلة:

مؤكد

• الكيانات المستهدفة: مجموعة مطارات مانشستر (MAG)، ومطار مانشستر، ومطار لندن ستانستد، ومطار إيست ميدلاندز.

• حجم مجموعة البيانات: ما يقرب من 8.7 ملايين سجل من سجلات العملاء.

• سمات البيانات المكشوفة: عناوين البريد الإلكتروني للعملاء (الغالبية العظمى)، وأرقام هواتف الاتصال، والرموز البريدية في المملكة المتحدة، وأرقام تسجيل المركبات (VRNs).

• سمات البيانات المستبعدة: تفاصيل البطاقات المالية (بيئة PCI-DSS)، وبيانات الاعتماد المصرفية، وكلمات مرور الحسابات، وأرقام جوازات السفر، وتاريخ جدول الرحلات لم تكن مخزنة في النظام المخترق.

• الأثر التشغيلي: لم يحدث أي تعطيل لعمليات الطيران، أو أمن المطار، أو فحص أمن مبنى الركاب، أو الوصول الفعلي إلى مواقف السيارات.

• التقارير التنظيمية: تم تسجيل الإفصاحات الإلزامية لدى NCSC ومكتب مفوض المعلومات (ICO).

مُبلّغ عنه

• طلب الفدية: أصدر مجرمو الإنترنت طلباً للابتزاز إلى إدارة MAG بعد استخراج البيانات وفقاً لتقرير هيئة الإذاعة البريطانية (BBC).

• نافذة الاختراق: بدأ الوصول غير المصرح به خلال عطلة نهاية الأسبوع من 22 إلى 24 أغسطس 2026، قبل اكتشافه في 25 أغسطس 2026.

مُقيّم

• بنية التخزين: من المرجح أنه تم الاحتفاظ بالبيانات في مستودع بيانات مركزي مستضاف على السحابة أو نظام إدارة قواعد البيانات العلاقية (RDBMS) الذي يشغل واجهات برمجة تطبيقات الحجز التجاري المشتركة لـ MAG.

• الغرض من الهجوم: ابتزاز البيانات بدافع مالي (نموذج برمجيات الفدية كخدمة أو مجموعة مخصصة لسرقة البيانات) وليس التجسس برعاية دولية أو التخريب التشغيلي.

لم يتم إثباته علناً بعد / مجهول

• ناقل الوصول الأولي (IAV): مجهول (على سبيل المثال، بيانات اعتماد مخترقة، أو ثغرة أمنية غير مرقعة في الأنظمة الطرفية، أو اختراق من قِبل مورد خارجي).

• هوية الجهة التهديدية: مجهولة (لا توجد مطالبات عامة على مواقع تسريب الويب المظلم حتى تاريخ النشر).

• التحقق من تسريب البيانات: من غير المعروف ما إذا كانت البيانات قد نُسخت بشكل منهجي خارج الموقع أو تم الوصول إليها/تفريغها بنشاط عبر نقاط نهاية واجهة برمجة التطبيقات المخترقة.

الجدول الزمني للحادث

إعادة بناء مسار الهجوم

نظراً لأن سجلات التحليل الجنائي الفني لم تنشرها MAG أو الجهات الأمنية، فإن دورة الحياة أدناه تقدم فرضية عمل أولية إلى جانب السيناريوهات الفنية المنافسة:

المرحلة 1: الوصول الأولي

• التقييم الأولي (ثقة متوسطة): يبدو أن الخدمات المتأثرة كانت تشارك الوصول إلى بيانات العملاء المرتبطة بالمطارات الثلاثة. ولم يتم الكشف علناً عن بنية البيانات الأساسية الدقيقة (قاعدة بيانات مركزية، أو تجميع طبقة التطبيقات، أو منصة SaaS، أو واجهة خلفية موزعة).

• الفرضية البديلة أ (ثقة متوسطة): اختراق حساب صالح عبر بيانات اعتماد إدارية مسروقة (حشو بيانات الاعتماد أو التصيد الاحتيالي المستهدف) للوصول إلى بوابة موفر خدمة مدارة (MSP) تابعة لطرف ثالث.

• الفرضية البديلة ب (ثقة منخفضة): اختراق سلسلة التوريد لبائع SaaS من جهة خارجية يزود محرك تسجيل بوابة الواي فاي الخاصة بالمطار.

• ما يزال مجهولاً: الثغرة الأمنية المحددة (CVE) المستغلة، أو البنية التحتية لعناوين IP المستخدمة من قبل المهاجمين، أو نقطة دخول الاختراق الدقيقة.

المرحلة 2: التحرك الجانبي والجمع

• الفرضية الأساسية (ثقة عالية): بمجرد الدخول إلى حدود الشبكة التجارية، قام المهاجم بالاستعلام عن قاعدة بيانات علاقية مركزية (مثل PostgreSQL أو MS SQL أو بحيرة بيانات Snowflake/BigQuery) تحتوي على سجلات مجمعة للمطارات الثلاثة.

·       الأدلة: احتوت البيانات المستخرجة على هياكل سجلات متطابقة (رسائل بريد إلكتروني، ورموز بريدية، وأرقام تسجيل المركبات VRNs) عبر مطارات مانشستر، وستانستد، وإيست ميدلاندز، مما يشير إلى أن خدمة خلفية مشتركة أو بيئة بيانات مشتركة ربما دعمت خدمات العملاء عبر المطارات الثلاثة.

المرحلة 3: التسريب والابتزاز

• الفرضية الأساسية (ثقة عالية): قام المهاجم بأتمتة استخراج البيانات عبر المنافذ الصادرة القياسية (HTTPS/443) قبل الاكتشاف، متبوعاً برسالة ابتزاز خارج النطاق تم تسليمها إلى التنفيذيين في MAG.

ما الذي تم اختراقه

رسم خرائط الأنظمة

• الوصول إلى البيانات مقابل تسريب البيانات: أكدت MAG أنه تم "الحصول" على البيانات من قِبل طرف ثالث غير مصرح له. وأكدت MAG أن بيانات العملاء تم الحصول عليها من قِبل طرف ثالث غير مصرح له. هذا يثبت الاستحواذ غير المصرح به على البيانات، ولكن المعلومات المتاحة للجمهور لا تحدد بعد آلية التسريب الدقيقة، أو الحجم المنقول، أو البنية التحتية للوجهة.

• تكنولوجيا العمليات (OT) والأمن المادي: لا توجد أدلة عامة (أو بيانات قياس عن بعد مسربة) تشير حالياً إلى اختراق تكنولوجيا العمليات في المطار أو الأنظمة الحساسة للسلامة. وصرحت MAG بأن سلامة الركاب وأمن الطيران وعمليات المطار لم تتأثر. ولم يتم الكشف علناً عن بنية التجزئة المحددة بين البيئة التجارية المتأثرة وأنظمة تكنولوجيا العمليات الفردية للمطار.

تحليل مساحة الهجوم

يحتفظ مشغلو المطارات الحديثة بمساحات هجوم رقمية واسعة ومتعددة المستأجرين:

تقييم الجهة التهديدية وتحديد المسؤولية

حتى 28 أغسطس 2026، لم تعلن أي منظمة جريمة سيبرانية أو مجموعة ترعاها دولة مسؤوليتها رسمياً عن خرق MAG على مواقع التسريب العامة أو منتديات الويب المظلم.

مصفوفة تحديد المسؤولية

حكم تحديد المسؤولية: غير منسوب لأي جهة في الوقت الحالي [لم يتم إثباته علناً]. يرجح الوزن التحليلي الأساسي جهة تهديد سيبرانية ذات دافع مالي متخصصة في استخراج البيانات الصامت والابتزاز.

رسم خرائط MITRE ATT&CK

يعكس التخطيط التالي التقنيات المؤكدة أو المقيمة تحليلياً في حادثة MAG:

نمط الهجمات السيبرانية على قطاع الطيران

يجب تحليل خرق MAG في سياق الهجمات الأخيرة التي استهدفت بنية النقل التحتية العالمية بين عامي 2024 و2026:

تحليل النمط: تحول الابتزاز في أمن الطيران

• تحول الهدف (من تكنولوجيا العمليات إلى الخدمات المساعدة التجارية): تدرك الجهات التهديدية أن خرق تكنولوجيا العمليات (مناولة الحقائب، إضاءة المطار) يستدعي استجابة فورية من الاستخبارات المضادة والجهات الأمنية في الدولة. لذا، تحول اختيار الأهداف إلى مجمعي البيانات التجارية غير الحيوية (مواقف السيارات، الصالات، التجزئة) الذين يحتفظون بمجموعات بيانات ضخمة للعملاء.

• ثغرات النظام البيئي للجهات الخارجية: تعمل المطارات الحديثة كمالكي عقارات رقمية. ويؤدي دمج منصات الجهات الخارجية (الواي فاي، مجمعي مواقف السيارات) إلى توسيع مساحة الهجوم مع ترك تكنولوجيا العمليات الأساسية معزولة.

• مخاطر تجميع البيانات: بدلاً من خرق ثلاثة أنظمة مطارات فردية، يستهدف المهاجمون البنية التحتية للشركة القابضة (مؤسسة MAG) حيث تتركز البيانات من مطارات متعددة.

يتماشى حادث MAG مع نمط مخاطر ناشئ يمكن للمهاجمين من خلاله الحصول على نفوذ كبير من خلال استهداف الخدمات الرقمية المدارة تجارياً دون المساس بأنظمة الطيران الحساسة للسلامة.  

القصة الأقل شهرة

بينما تركز العناوين الرئيسية على رقم "8.7 ملايين عميل"، يكشف التحليل الأعمق لمعلومات التهديدات عن جوانب حاسمة ومغفلة:

تحويل بيانات تسجيل المركبات والرموز البريدية إلى سلاح

يمثل الجمع بين أرقام تسجيل المركبات (VRNs) والرموز البريدية مجموعة بيانات خطيرة للغاية. في المملكة المتحدة، يحدد الرمز البريدي موقعاً معزولاً يصل إلى ما يقرب من 15 عنواناً سكنياً. وتتيح مطابقة الرمز البريدي مع رقم تسجيل السيارة لمجرمي الإنترنت أو مجموعات الجريمة المنظمة (OCGs) القيام بما يلي:

• تحديد المركبات الفارهة عالية القيمة.

• ربط مركبات معينة بمواقع جغرافية دقيقة.

• تأكيد الجداول الزمنية للرحلات/مواقف السيارات لتحديد متى يكون الأفراد ذوو الملاءة المالية العالية بعيداً عن منازلهم، مما يخلق مخاطر أمنية مادية ومخاطر السطو.

مواد تصيد احتيالي عالي الدقة

تحتوي السجلات المسروقة على سياق تاريخي دقيق: "لقد قمت بإيقاف سيارتك في مبنى الركاب 2 بمطار مانشستر وحجزت المسار السريع." وسوف تظهر حملات التصيد الاحتيالي التي تستخدم هذه التفاصيل المحددة معدلات نجاح أعلى بكثير من عمليات الاحتيال العامة.

أثر غير متماثل على السمعة والجانب التنظيمي

من خلال استهداف البنية التحتية غير التشغيلية، يتجنب المهاجمون عقوبات سلامة الطيران مع التسبب في أقصى حد من التعرض لعقوبات اللائحة العامة لحماية البيانات (GDPR). واعتماداً على الظروف، يمكن أن يؤدي إنفاذ اللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR) إلى غرامات إدارية تصل إلى 17.5 مليون جنيه إسترليني أو 4 في المائة من إجمالي الإيرادات السنوية العالمية للسنة المالية السابقة، أيهما أعلى، وفقاً للإطار القانوني المعمول به.

تكنولوجيا المعلومات/تكنولوجيا العمليات في قطاع الطيران وتداعيات السلامة

يظهر خرق MAG فعالية التجزئة القوية للشبكة بين تكنولوجيا معلومات المؤسسة وتكنولوجيا العمليات (OT):

• لماذا لم تتأثر السلامة: تعمل الأنظمة التشغيلية في الجانب الجوي (المراقبة الجوية، وإضاءة المدرج، والقياس الأمني عن بعد) على شبكات مخصصة (SCADA/ICS) باستخدام بروتوكولات خاضعة لرقابة صارمة (مثل Modbus وBACnet والشبكات المحلية الافتراضية المعزولة VLANs).

• إثبات العزل التام (Air-Gap): يشير عدم وجود أي تأثير تشغيلي تم الإبلاغ عنه إلى أن اختراق البيئة المتأثرة الموجهة للعملاء لم يترجم إلى تعطيل عمليات الطيران. ومع ذلك، فإن الأدلة المتاحة لا تثبت ما إذا كان هذا ناتجاً عن العزل الفني، أو التجزئة المنطقية، أو ضوابط الوصول، أو المراقبة، أو خيار المهاجم، أو مزيج من ذلك.

• الدرس الرئيسي: يجب الحفاظ على بروتوكولات التجزئة الصارمة. ومع سعي مشغلي المطارات نحو دمج "المطارات الذكية" (ربط مستشعرات مواقف السيارات بتحليلات تدفق الركاب)، يجب أن تظل الاتصالات عبر المجالات بين تكنولوجيا المعلومات التجارية وتكنولوجيا العمليات التشغيلية أحادية الاتجاه بشكل صارم أو معزولة تماماً.

مصفوفة الأدلة والثقة

النتائج الرئيسية

• بنية بيانات المجموعة المركزية تخلق نقاط فشل فردية: إن تجميع البيانات المساعدة عبر ثلاثة مطارات رئيسية في قاعدة بيانات واحدة أدى إلى تحويل اختراق نظام واحد إلى خرق لـ 8.7 ملايين سجل.

• تحمل البيانات المساعدة قيمة ابتزازية كبيرة: لا يحتاج المهاجمون إلى أرقام بطاقات الدفع أو أنظمة الطيران للحصول على نفوذ؛ إذ توفر معلومات الاتصال المقترنة بتسجيلات المركبات مادة وافرة للابتزاز وعمليات الاحتيال الثانوية.

• تجزئة تكنولوجيا المعلومات/تكنولوجيا العمليات أثبتت فعاليتها: نجحت حدود الشبكة في عزل البنية التحتية الحيوية للطيران، مما ضمن عدم حدوث أي تعطيل للرحلات الجوية أو سلامة المطار.

• شبكات الواي فاي التابعة لجهات خارجية والبوابات التجارية تمثل تعرضاً كبيراً لمساحة الهجوم: تجمع بوابات الواي فاي ومحركات مواقف السيارات كميات هائلة من البيانات الشخصية، غالباً دون تلقي نفس التدقيق الأمني الذي تخضع له منصات تكنولوجيا المعلومات الأساسية.

• تهديد التصيد الاحتيالي الثانوي فوري: تزود الرموز البريدية وأرقام الهواتف وتسجيلات المركبات المكشوفة المحتالين بالسياق اللازم لشن هجمات متابعة مقنعة.

• نماذج الابتزاز تحل محل برمجيات الفدية المدمرة: تختار الجهات التهديدية بشكل متزايد استخراج البيانات الصامت بدلاً من التشفير التعطيلي لتجنب ردود الفعل التنظيمية والأمنية القاسية.

• الشفافية العامة بدأت على الفور: أخطرت MAG الجهات التنظيمية (NCSC, ICO) والعملاء المتأثرين في غضون 48 ساعة من السيطرة على الحادث.

• الرقابة المؤتمتة على أمن واجهة برمجة التطبيقات أمر بالغ الأهمية: يؤكد الاستخراج السريع لـ 8.7 ملايين سجل على الحاجة إلى مراقبة واجهة برمجة التطبيقات في الوقت الفعلي وتحديد معدل نقل البيانات عبر البوابات الموجهة للعملاء.

الدروس الاستراتيجية للأمن السيبراني في قطاع الطيران

• تقليل البيانات: يجب على مشغلي المطارات فرض جداول احتفاظ صارمة بالبيانات، وتطهير سجلات الواي فاي وسجلات تسجيل المركبات بمجرد اكتمال حجوزات مواقف السيارات والرحلات.

• اللامركزية الهيكلية: يجب على مجموعات المطارات القابضة المشتركة تقييم ما إذا كانت قواعد بيانات العملاء المركزية تفوق مخاطر اختراق نقطة واحدة.

• حماية واجهة برمجة التطبيقات من التهديدات: يجب على فرق مركز العمليات الأمنية (SOC) نشر الكشف التلقائي عن الشذوذ للإبلاغ عن عمليات تصدير الجداول الضخمة أو أحجام نقل البيانات غير العادية.

• الدفاع الاستباقي عن العملاء: يجب أن تقدم الإرشادات الصادرة بعد الحادث توجيهات واضحة حول تحديد عمليات جمع البيانات الشخصية لغرض الاحتيال وانتحال الشخصية.

يؤكد الهجوم السيبراني الذي وقع في 27 أغسطس 2026 على مجموعة مطارات مانشستر على مشهد التهديدات المتطور الذي يواجه مشغلي البنية التحتية الوطنية الحيوية. وبينما نجحت التجزئة الصارمة لشبكة MAG في حماية عمليات الطيران وأنظمة السلامة في الجانب الجوي، فإن تسريب 8.7 ملايين سجل للعملاء يوضح نقاط الضعف الكامنة في منصات البيانات المساعدة المركزية. ومع استمرار تركيز الجهات التهديدية الابتزازية على سرقة البيانات بدلاً من التعطيل التشغيلي، يجب على مشغلي الطيران توسيع ضوابط الثقة الصفرية الصارمة وممارسات تقليل البيانات لتشمل أنظمتهم البيئية الرقمية الموجهة للعملاء.

المزيد حول الأمن السيبراني في قطاع الطيران

فك تشفير هجمات تزييف نظام تحديد المواقع العالمي (GPS) المنسقة على المطارات الهندية

احمِ مطارك مع Shieldworkz