U četvrtak, 27. kolovoza, Manchester Airports Group (MAG), tvrtka koja upravlja zračnim lukama Manchester, Stansted i East Midlands, priznala je da joj je neovlaštena treća strana pristupila sustavu s podacima korisnika. Ukradeni podaci, prema priopćenju tvrtke, obuhvaćaju e-mail adrese, telefonske brojeve, registarske oznake vozila i poštanske brojeve, i odnose se na rezervacije parkirališta, salona za putnike, Fast Track propusnica i prijave na Wi-Fi u sve tri zračne luke. Pogođeno je 8,7 milijuna korisnika, iako MAG napominje da je kod većine njih ukraden samo e-mail, dok su drugi izloženi u većoj mjeri.

Ono što ovaj slučaj čini zanimljivim jest ono što napadači nisu dirali. Sigurnost putnika i zrakoplovna sigurnost nisu bile ugrožene ni u jednom trenutku, letovi i parkirne usluge nastavili su raditi bez prekida, a sustav u kojem su podaci ukradeni ne pohranjuje podatke o bankovnim karticama. Kao mjeru opreza, MAG je privremeno ugasio online uslugu za upravljanje rezervacijama, a korisnicima koji trebaju hitno promijeniti rezervaciju u sljedeća 72 sata upućena je poruka da nazovu korisničku podršku. Tvrtka je obavijestila nadležna tijela, uključujući britanski Information Commissioner’s Office, i angažirala vanjske stručnjake za kibernetičku sigurnost.

Prema navodima MAG-a, napadači su prvi put pristupili podacima nekoliko dana prije nego što je upad uopće otkriven, a tvrtka nije objavila kako su napadači uopće ušli u sustav niti što su točno radili dok su bili unutra, osim što su preuzeli podatke korisnika. To je uobičajen obrazac kod ovakvih incidenata: institucija zna što je ukradeno tek nakon što forenzička istraga završi, dok javnost u međuvremenu dobiva samo osnovne brojke.

Meta nisu bili letovi, nego parking i Wi-Fi

Zračne luke ulažu ogromna sredstva u zaštitu sustava koji izravno utječu na sigurnost letenja, kontrolu leta, prijavu putnika, sigurnosne provjere. To su sustavi pod strogim regulatornim nadzorom i s najvišim prioritetom zaštite. No isti napad pokazuje da ti sustavi nisu jedini koji drže velike količine osobnih podataka. Parkiranje, saloni za putnike, Fast Track i Wi-Fi izgledaju kao sporedne, gotovo administrativne usluge, a ipak su sadržavale podatke gotovo devet milijuna ljudi.

Ovo nije nova pojava, ali ovaj slučaj je dobar podsjetnik da napadači sve češće ciljaju baš takve rubne sustave. Kad je jezgra sustava dobro zaštićena, a rijetko je slabija karika ono za čim javnost i mediji prvo pitaju, nego ono što nitko ne provjerava jednako pažljivo, sustav rezervacija parkinga koji je nekad davno napravljen kao dodatna pogodnost korisnicima, a s vremenom prikupio milijune zapisa osjetljivih podataka.

Treći put u godinu dana vidimo isti obrazac

Zračne luke posljednjih godinu dana redovito postaju meta. U rujnu 2025. ransomware napad na tvrtku Collins Aerospace, dobavljača softvera za prijavu putnika koji koristi stotinjak zračnih luka diljem svijeta, paralizirao je automatske sustave prijave na Heathrowu, u Bruxellesu i Berlinu, i danima uzrokovao kašnjenja i otkazane letove. Tamo je problem bio dobavljač koji opslužuje mnogo zračnih luka odjednom, isti obrazac koji smo vidjeli i kod poljske tvrtke MyDr u zdravstvu. Kod francuske Porezne uprave prije nekoliko tjedana problem je bio zlouporaba tuđeg identiteta za ulazak kroz interni alat. Kod MAG-a problem je sustav ancilarnih usluga koji je prikupio milijune zapisa, a nije bio zaštićen s istim prioritetom kao operativni sustavi.

Tri različita mehanizma, tri različita sektora, jedan zajednički zaključak. Napadači ne moraju probiti najbolje čuvani dio infrastrukture da bi nanijeli veliku štetu. Dovoljno im je pronaći sustav koji je manje na radaru, a i dalje drži velike količine podataka.

Što ovo znači za hrvatsku kritičnu infrastrukturu

Zračne luke, luke, i operatori u sektoru prometa u Hrvatskoj kategorizirani su prema ZKS-u kao ključni ili važni subjekti, isto kao bolnice ili energetske tvrtke. Ako vodite takvu instituciju, ovaj slučaj je dobar povod za pitanje koje se rijetko postavlja na redovnim sastancima o sigurnosti: koji vaši sustavi drže najviše osobnih podataka, a nisu prvi na popisu kad se raspoređuju sigurnosni resursi?

Sustav rezervacija parkinga, korisnički portal, program vjernosti ili Wi-Fi prijava rijetko dobivaju istu pažnju kao operativni sustavi, a upravo zato često prikupljaju podatke godinama bez redovite revizije pristupa i zaštite. Popis svih sustava koji obrađuju osobne podatke, uključujući one koji djeluju sporedno, prvi je korak koji svaka ustanova u kategoriji ključnih ili važnih subjekata treba imati ažuriran, ne samo popis onoga što je očito kritično. Isti popis je i polazna točka za 13 mjera kibernetičke sigurnosti koje ZKS propisuje, jer se svaka od njih na kraju svodi na pitanje što točno štitite i zašto baš to.

Riskoria pomaže tijelima u sektoru prometa i drugoj kritičnoj infrastrukturi u Hrvatskoj s procjenom usklađenosti sa ZKS-om, mapiranjem sustava koji obrađuju osobne podatke i pripremom plana za upravljanje incidentima. Za razgovor o stanju vaše institucije, javite se na info@riskoria.eu.