Para: cualquier persona que haya reservado aparcamiento, una sala VIP o un control de seguridad Fast Track en los aeropuertos de Manchester, London Stansted o East Midlands, o que se haya registrado en el Wi-Fi del aeropuerto, incluidos los visitantes extranjeros.
Este artículo se basa en el comunicado y las preguntas frecuentes oficiales de Manchester Airports Group (MAG), así como en las orientaciones del Centro Nacional de Ciberseguridad (NCSC) y de la Oficina del Comisionado de Información (ICO) del Reino Unido, y no describe técnicas de ataque.
Qué hacer hoy
Sospeche de cualquier mensaje sobre el aeropuerto, su reserva o su coche
MAG pide a los clientes que estén atentos a correos, SMS y llamadas sospechosos, y que no hagan clic en enlaces ni abran archivos adjuntos en comunicaciones inesperadas. El NCSC advierte, además, de que tras una violación de datos pueden llegar mensajes con apariencia oficial sobre «recibir una compensación» o «restablecer contraseñas», así como mensajes que le exigen actuar de inmediato. Que una fecha o una matrícula sean correctas no demuestra que un mensaje sea auténtico (nociones básicas: ¿Qué es el phishing?).
Gestione usted mismo los reembolsos, cambios y cancelaciones en Gestionar reserva
Según MAG, todas las reservas próximas siguen siendo válidas y no necesita hacer nada. Si desea cambiar las fechas o cancelar por el incidente, puede hacerlo sin coste, y las cancelaciones debidas al incidente se reembolsarán íntegramente. Hágalo a través de Gestionar reserva en la web oficial del aeropuerto, escribiendo usted mismo la dirección. «Introduzca los datos de su tarjeta en este enlace para recibir su reembolso» no aparece en ningún paso de ese proceso.
Nunca facilite números de tarjeta, datos bancarios ni contraseñas a quien se los pida
MAG afirma que nunca se pondrá en contacto con usted de forma inesperada para pedir datos de tarjetas de pago, información bancaria o contraseñas. Si alguien que llama le «verifica» citando correctamente su matrícula o su código postal, podría tratarse simplemente de datos filtrados. Cuelgue y llame de nuevo al número que aparece en la web oficial.
No pague un SMS de «multa de aparcamiento»; compruébelo por su cuenta
Los ayuntamientos del Reino Unido han advertido sobre SMS que se hacen pasar por avisos de sanción de aparcamiento (Penalty Charge Notices, PCN). El Ayuntamiento de Wandsworth, en Londres, por ejemplo, indica: «Nunca le enviaremos un SMS pidiéndole que pague una PCN.» Aunque el mensaje muestre su matrícula correcta, no pague a través de su enlace.
Si ha perdido dinero, llame a su banco y denuncie en Report Fraud
El NCSC indica que, si ha perdido dinero, debe informar a su banco y denunciarlo en Report Fraud, el centro de denuncias del Reino Unido para el fraude y el cibercrimen (en Escocia, llame a la policía al 101). Report Fraud sustituyó a Action Fraud en diciembre de 2025; el número de teléfono (0300 123 2040) no ha cambiado. Si la tarjeta fue emitida en el extranjero, llame al número que figura en el reverso de la tarjeta.
Reenvíe los mensajes sospechosos
El NCSC le pide que reenvíe los correos sospechosos a report@phishing.gov.uk y los SMS sospechosos al 7726 (gratuito). La ICO también sugiere vigilar los extractos bancarios, revisar su historial crediticio y usar contraseñas seguras y autenticación multifactor.
Reserva de aparcamiento, sala VIP o Fast Track
+ correo electrónico, número de teléfono
↓→
«Hay un problema con su reserva, le reembolsaremos»
→ No siga enlaces; abra Gestionar reserva oficial
Matrícula del vehículo
+ número de teléfono
↓→
«Multa de aparcamiento impagada para su vehículo»
→ Nunca pague mediante enlace de SMS; consulte a la entidad emisora
Código postal
(revela su zona)
↓→
Quien le «verifica» con su código postal
→ Conocerlo ≠ ser auténtico. Cuelgue y llame de nuevo
No conservados (según MAG): datos bancarios y de tarjetas de pago
Qué ocurrió (según el comunicado de MAG)
Todo lo que sigue figura tal como lo indica el comunicado y las preguntas frecuentes de MAG («Data Security Incident - 27.08.26») en las webs oficiales de los tres aeropuertos. Las tres páginas son idénticas, salvo por el enlace a la página de Gestionar reserva de cada aeropuerto.
Agosto de 2026
MAG sufre un incidente de ciberseguridad causado por un tercero no autorizado. Se obtienen datos de clientes relacionados con reservas de aparcamiento, salas VIP y Fast Track, y con registros de Wi-Fi en los tres aeropuertos.Al tener conocimiento
MAG afirma que contuvo el incidente de inmediato restringiendo el acceso al sistema afectado, contrató a expertos especializados en ciberseguridad y notificó a las autoridades competentes, con su equipo de Protección de Datos supervisando la respuesta. Según informes de prensa, MAG tuvo conocimiento el martes 25 de agosto.27 de agosto de 2026
MAG publica su comunicado (la fecha que figura en el encabezado de la página).Desde entonces
MAG afirma que todos los clientes afectados han sido informados y que sigue colaborando con las autoridades competentes.
- Servicios implicados
- Reservas de aparcamiento, salas VIP y Fast Track, y registros de Wi-Fi del aeropuerto en los tres aeropuertos
- Datos implicados
- Direcciones de correo electrónico, números de teléfono, matrículas de vehículos y códigos postales
- No implicados
- Ni MAG ni el sistema al que accedieron guardan datos bancarios ni de pago de los clientes
- Publicación
- En el caso de las personas notificadas como afectadas, MAG afirma que sus datos quedaron disponibles públicamente
- Reservas
- Todas las reservas próximas siguen siendo válidas. Los cambios y cancelaciones por el incidente son gratuitos, y dichas cancelaciones se reembolsan íntegramente
- Operaciones del aeropuerto
- No se vieron implicados los sistemas operativos del aeropuerto; sin impacto en las operaciones; nunca se comprometieron la seguridad de los pasajeros ni la seguridad de la aviación
- Respuesta
- Restricción del acceso al sistema afectado, contratación de especialistas, notificación a las autoridades competentes y contacto directo con los clientes afectados
Nota de lectura: la cifra y la causa no figuran en el comunicado oficial
La cifra de 8,7 millones no aparece en el comunicado de MAG; es lo que un portavoz de MAG habría dicho a un periódico británico. La causa, el método de entrada y el sistema implicado no se han publicado. Algunos informes mencionan una exigencia de dinero; este artículo solo recoge el comunicado de MAG y las cifras que pueden rastrearse hasta una fuente.
Que alguien conozca sus datos de contacto o su matrícula no es prueba de identidad
Las filtraciones de direcciones de correo electrónico y números de teléfono son habituales. Lo que hace diferente este caso es que, junto a esos datos, se han obtenido reservas de aeropuerto y matrículas.
Lo que un estafador puede escribir solo con datos de contacto
- «Hay un problema con su cuenta»
- «No pudimos entregar su paquete»
- Fácil de ignorar, porque no le suena de nada
Lo que un estafador puede escribir también con reservas y matrículas
- «Hay un problema con su reserva de aparcamiento en el aeropuerto; le reembolsaremos»
- «Su vehículo (matrícula ...) tiene una multa de aparcamiento impagada»
- Quienes realmente hicieron la reserva piensan «esto va por mí»
En primer lugar, las estafas de reembolsos y problemas con reservas resultan más convincentes. El NCSC advierte sobre estafadores que se hacen pasar por la organización que sufrió la violación y sobre mensajes de «compensación». No se ha publicado si estos datos se han utilizado en estafas, pero un mensaje que menciona el aeropuerto correcto y su matrícula real es mucho más difícil de dudar.
En segundo lugar, que alguien conozca su matrícula o su código postal no demuestra que sea de fiar. Esos datos, combinados con una dirección de contacto, podrían dar credibilidad a un acercamiento relacionado con el aeropuerto o con reservas. El comunicado no indica de forma explícita que las fechas de reserva o los itinerarios de viaje hayan sido obtenidos, por lo que no establece que este incidente haya expuesto cuándo las personas estarían fuera de casa.
Nunca considere que conocer su matrícula o su código postal sea prueba de identidad ni de confianza. Comuníquelo también a su familia: «aunque quien llame acierte con mis datos personales, no entregue dinero ni información hasta que lo haya comprobado conmigo directamente».
Opinión de este sitio: conozca la única vía de reembolso auténtica y no tendrá que juzgar la falsa
Los consejos para detectar SMS falsos (URL con errores, redacción extraña) dejan de funcionar a medida que los estafadores mejoran. Es más fiable conocer de antemano la vía auténtica. En el caso de MAG, las reservas siguen siendo válidas y los cambios o cancelaciones los realiza usted mismo en la página oficial de Gestionar reserva que abre por su cuenta. «Abra el enlace e introduzca el número de su tarjeta para recibir un reembolso» no encaja con esa vía, así que puede considerarlo falso sin leer nada más.
Es fácil pasar por alto que los registros de Wi-Fi también están incluidos. Si «introdujo su correo electrónico para conectarse» en el aeropuerto, sus datos de contacto podrían estar incluidos aunque nunca haya reservado nada. Al registrarse en Wi-Fi en lugares públicos, una dirección de correo electrónico separada, que no use para cuentas importantes, limita el daño en caso de filtración (Los peligros del Wi-Fi público).
Ya hemos tratado mensajes falsos basados en reservas de viaje en el caso de una plataforma de reservas de hoteles (la violación de datos de Booking.com) y del ferrocarril italiano (la violación de datos de Trenitalia). Una violación de la misma época, en la que una herramienta interna de informes expuso datos de estudiantes y familias, se trata en la violación de datos de Mathspace.
Fuentes (registro público)
Los datos de este artículo proceden de las fuentes públicas que se indican a continuación. No repetimos especulaciones de la prensa, ni causas ni cantidades que no puedan confirmarse oficialmente.
- Manchester Airport, «Data Security Incident - 27.08.26» (comunicado y preguntas frecuentes de MAG) — manchesterairport.co.uk
- London Stansted Airport, misma página — stanstedairport.com
- East Midlands Airport, misma página — eastmidlandsairport.com
- The Record, informe del 27 de agosto de 2026 (informa de que un portavoz de MAG dijo a un periódico británico que unos 8,7 millones de personas se vieron afectadas) — therecord.media
- NCSC, «Data breaches: guidance for individuals and families» — ncsc.gov.uk
- NCSC, «Report a scam email» — ncsc.gov.uk
- ICO, «What steps can I take if I've been affected by a personal data breach?» — ico.org.uk
- GOV.UK, «Report Fraud: new service from City of London Police» (4 de diciembre de 2025) — gov.uk
- Wandsworth Council, «Parking scam text message warning for residents» (24 de junio de 2026) — wandsworth.gov.uk
Historial de actualizaciones
2026-10-19: Se corrigió la afirmación de que los datos expuestos revelaban cuándo estarían fuera de casa los viajeros. El comunicado de MAG no incluye de forma explícita entre los datos obtenidos las fechas de reserva ni los itinerarios de viaje. La fecha de verificación del artículo completo no cambia.
2026-09-30: Primera versión, basada en el comunicado y las preguntas frecuentes de MAG en las webs oficiales de los tres aeropuertos, y en las orientaciones del NCSC y la ICO para particulares. La cifra de personas afectadas es la que, según informes, dio un portavoz de MAG. La causa técnica, el momento de la intrusión y el sistema implicado no se han publicado; actualizaremos esta página si se publican.
Lecturas recomendadas
- Mensajes falsos basados en reservas de viaje: La violación de datos de Booking.com / La violación de datos de Trenitalia (Italia)
- Detectar mensajes falsos: ¿Qué es el phishing?
- Wi-Fi de aeropuertos y hoteles: Los peligros del Wi-Fi público
- Una violación de la misma época: La violación de datos de Mathspace (Australia y Nueva Zelanda)
- Otros incidentes de 2026: Violaciones de datos y ciberataques de 2026