Em destaque em outubro: Violação de segurança – O que acontece quando os dados roubados caem nas mãos erradas?

O que aconteceu?

Em agosto de 2026, o Manchester Airports Group (MAG), que gere os aeroportos de Manchester, Londres-Stansted e East Midlands, divulgou um incidente de cibersegurança depois de um terceiro não autorizado ter obtido acesso aos dados dos clientes.

A informação provém de serviços que muitos passageiros utilizam no âmbito de uma viagem normal pelo aeroporto, incluindo reservas de estacionamento, salas VIP e Fast Track, bem como registos na rede Wi-Fi do aeroporto. A MAG confirmou que os endereços de e-mail, números de telefone, matrículas de veículos e códigos postais estavam entre as informações a que se acedeu.

É importante referir que o sistema afetado não guardava dados bancários nem de pagamento dos clientes, e que a violação não envolveu os sistemas operacionais do aeroporto. Os voos e os serviços do aeroporto decorreram normalmente, tendo a MAG confirmado que a segurança dos passageiros e a segurança da aviação nunca foram comprometidas.

Mas a história não acabou quando a falha inicial foi contida.

Os criminosos por trás do ataque tentaram extorquir a MAG e, depois de não terem conseguido que lhes pagassem o resgate, publicaram a informação roubada na Internet. A análise do material que vazou revelou dados relativos a cerca de 8,7 milhões de pessoas, sendo que o conjunto de dados incluiria, alegadamente, informações adicionais, como o histórico de compras e dados dos dispositivos.

Isso altera consideravelmente o risco. Assim que a informação roubada é publicada e fica disponível para outros criminosos, pode vir a ser reutilizada muito tempo depois de o ataque original ter terminado.

Porque é que estes dados podem ser mais valiosos do que parecem

À primeira vista, um endereço de e-mail, um número de telefone ou um código postal podem não parecer tão preocupantes como uma palavra-passe ou um cartão de pagamento roubados. Mas os cibercriminosos raramente analisam cada informação isoladamente.

Se juntares um endereço de e-mail com um número de telefone, a matrícula de um veículo e informações relacionadas com a atividade de alguém no aeroporto, de repente tens muito mais com que trabalhar. Um burlão pode usar dados pessoais verdadeiros para fazer com que um e-mail, uma mensagem de texto ou uma chamada pareçam muito mais credíveis.

Imagina receber uma mensagem que parece ser sobre uma reserva de estacionamento no aeroporto e que inclui a matrícula real do teu carro. Ou uma chamada de alguém que já conhece os teus dados de contacto e consegue referir-se a informações sobre um serviço que realmente utilizaste. Esses detalhes podem tornar muito mais difícil perceber logo que algo está errado.

É isso que torna a violação da MAG particularmente interessante do ponto de vista do risco cibernético humano. A informação roubada durante um ciberataque pode, potencialmente, tornar-se a matéria-prima para outro, dando aos criminosos o contexto de que precisam para criar tentativas de engenharia social mais convincentes.

A violação não acaba quando os atacantes se vão embora

Conter um atacante é, obviamente, um momento importante em qualquer resposta a incidentes, mas os dados roubados criam um problema diferente. Uma organização pode bloquear a via que os atacantes usaram para entrar, proteger os sistemas afetados e voltar ao funcionamento normal, mas não consegue necessariamente recuperar a informação que já foi copiada.

Neste caso, a publicação do conjunto de dados significa que a informação poderia vir a ser acedida e reutilizada por outros criminosos que não tivessem nada a ver com a violação inicial.

Para as pessoas afetadas, isso significa que o risco pode continuar muito para além do incidente inicial. Pode chegar uma mensagem suspeita dias depois, ou a informação roubada pode reaparecer meses mais tarde, como parte de um esquema completamente diferente.

Isso também muda o que as pessoas têm de ter em atenção. Já nos habituámos a ouvir que erros ortográficos, endereços de e-mail estranhos ou mensagens vagas podem ser sinais de alerta de phishing. Mas quando os criminosos têm acesso a informações verdadeiras sobre a pessoa que estão a visar, algumas dessas pistas habituais podem desaparecer.

Uma mensagem pode conter informações precisas e, mesmo assim, ser maliciosa. É por isso que a sensibilização para a segurança tem de preparar as pessoas para mais do que apenas e-mails obviamente suspeitos. Os colaboradores têm de perceber que os atacantes podem já saber alguma coisa sobre eles, sobre a sua organização ou sobre os serviços que utilizam, e que essa familiaridade não deve significar automaticamente confiança.

O que o Manchester Airports Group fez bem

A MAG agiu rapidamente assim que tomou conhecimento do incidente, restringindo o acesso aos sistemas afetados e recorrendo a especialistas em cibersegurança para apoiar a sua resposta. O grupo também notificou as autoridades competentes e contactou diretamente os clientes afetados.

A forma como comunicou com os clientes foi particularmente útil. Em vez de se limitar a anunciar que tinha ocorrido uma violação de segurança, a MAG explicou que tipos de informação tinham sido acedidos e quais não tinham sido. Também tranquilizou os passageiros, garantindo que as reservas já feitas continuavam válidas e que as operações do aeroporto não tinham sido afetadas.

Mais importante ainda, a empresa alertou os clientes para ficarem atentos a e-mails, mensagens de texto e chamadas telefónicas suspeitas na sequência da violação. A MAG também deixou claro que nunca entraria em contacto com os clientes de forma inesperada para lhes pedir dados de cartões de pagamento, informações bancárias ou palavras-passe.

Esse tipo de conselho prático é mesmo importante depois de um incidente como este. As pessoas precisam de saber como poderá ser a próxima ameaça e como se podem proteger, especialmente agora que os criminosos podem ter informações verdadeiras suficientes para fazer com que a abordagem pareça credível.

O que as organizações podem aprender

A violação de segurança do Manchester Airports Group mostra porque é que as organizações precisam de pensar para além das consequências imediatas do roubo de dados.

Perceber que tipo de informação tens faz parte disso. Dados de clientes ou colaboradores que parecem normais podem tornar-se muito mais úteis para um atacante quando várias informações são combinadas; por isso, o impacto potencial de uma violação tem de ter em conta a forma como essa informação poderá ser utilizada posteriormente.

As organizações também precisam de preparar os seus colaboradores para situações de engenharia social que pareçam pessoais. Dizer aos colaboradores para ignorarem e-mails com erros ortográficos óbvios não é suficiente quando um atacante pode saber o nome, o número de telefone ou outros detalhes reais deles. Uma mensagem convincente pode parecer bem elaborada e conter informações que o destinatário reconheça.

Em vez disso, a formação em sensibilização pode ajudar as pessoas a criar o hábito de questionar o próprio pedido. Será que isto é algo que normalmente me pediriam para fazer? Haverá outra forma de verificar com quem estou a falar? Estão a pressionar-me para agir rapidamente ou para partilhar informações que normalmente não forneceria?

A forma como se lida com uma falha de segurança também é importante. A MAG conseguiu manter os seus aeroportos a funcionar normalmente enquanto investigava o incidente, e as comunicações com os clientes deram às pessoas informações práticas sobre o que tinha acontecido e o que deviam ter em atenção a seguir.

No fim de contas, as organizações não conseguem controlar para onde vão as informações roubadas depois de os criminosos as terem em mãos. O que podem fazer é garantir que os seus colaboradores percebam como essas informações podem ser usadas contra eles e se sintam à vontade para parar um momento e verificar quando algo não parece estar bem.

Prepara os colaboradores para enfrentar técnicas de engenharia social mais convincentes

A engenharia social torna-se muito mais difícil de detectar quando os atacantes já sabem alguma coisa sobre a pessoa que estão a visar. É por isso que os colaboradores precisam de experiência a lidar com ameaças reais, em vez de se basearem numa lista de sinais óbvios de alerta de phishing.

A MetaCompliance ajuda as organizações a preparar os colaboradores através de formação de sensibilização para a segurança que ajuda a perceber como funciona a engenharia social moderna e as técnicas que os atacantes usam para criar situações convincentes.

As nossas simulações avançadas de phishing dão aos colaboradores a oportunidade de pôr esses conhecimentos em prática em cenários realistas, com formação de acompanhamento relevante que ajuda a reforçar o que devem ter em atenção quando interagem com uma simulação.

Ao dar aos colaboradores oportunidades regulares para identificarem e reagirem a ameaças convincentes, as organizações podem ajudar as pessoas a ficarem mais confiantes para questionarem pedidos inesperados, mesmo quando a pessoa que as contacta parece saber todos os detalhes certos.

Entra em contacto connosco para descobrires como a MetaCompliance pode ajudar os teus colaboradores a manterem-se preparados para as ameaças de engenharia social em constante evolução.