Manchester Airports Group : une fuite de données chez les prestataires révèle les angles morts de la sous-traitance

Trois aéroports britanniques, Manchester, Londres Stansted et East Midlands, ont confirmé le 27 août 2026 qu'un tiers non autorisé avait accédé aux données de leurs clients. En cause : les systèmes de réservation de parkings, de salons VIP, de Fast Track et d'inscription au Wi-Fi, gérés par des prestataires du groupe Manchester Airports Group (MAG). Un incident qui, même hors du champ direct du RGPD européen, dessine une check-list utile pour tout DPO gérant des prestataires tiers.

Ce qui s'est passé

MAG a indiqué que les données exposées comprennent les adresses email, numéros de téléphone, plaques d'immatriculation et codes postaux des clients ayant réservé un parking, un accès salon, un Fast Track ou un abonnement Wi-Fi dans l'un des trois aéroports. Le groupe précise qu'aucune coordonnée bancaire n'a été compromise et que la sécurité aéroportuaire n'a pas été affectée. Par précaution, le service en ligne « Manage My Booking » a été suspendu, et les clients ayant un vol dans les 72 heures ont été redirigés vers un service client téléphonique.

MAG a averti directement les personnes concernées et recommandé la vigilance face aux tentatives de phishing et de smishing, en particulier des messages usurpant l'identité de l'aéroport à l'approche d'un voyage — un vecteur d'autant plus efficace que l'attaquant dispose de données de réservation réelles.

Pourquoi c'est important pour les DPO européens

L'incident se déroule au Royaume-Uni, sous UK GDPR et non sous le RGPD de l'Union européenne. Mais deux réalités pratiques rapprochent ce dossier des préoccupations des DPO français : d'une part, une part significative des passagers de Manchester, Stansted et East Midlands sont des ressortissants de l'UE, dont les données personnelles restent protégées par les principes du RGPD dès lors qu'un responsable de traitement établi dans l'UE est concerné en amont (agences de voyage, comparateurs, partenaires commerciaux) ; d'autre part, le schéma de l'incident — une brèche localisée chez des sous-traitants (article 28) gérant des services périphériques (parking, Wi-Fi, salons) plutôt que dans le système d'information central — est exactement celui que Leto documente régulièrement dans sa veille, du sous-traitant logistique commun à Bol et De Bijenkorf aux prestataires de facturation d'hôpitaux allemands.

Le principe reste identique des deux côtés de la Manche : un responsable de traitement ne peut pas se défausser de sa responsabilité sur un prestataire technique. Le délai de notification de 72 heures à l'autorité de contrôle (article 33 du RGPD) et l'obligation d'information des personnes concernées en cas de risque élevé s'appliqueraient de façon quasi identique si l'incident touchait un responsable de traitement établi en France ou dans l'UE.

Ce que ça change pour les organisations

Cet incident rappelle trois réflexes que tout DPO ou RSSI devrait vérifier après lecture de cette actualité. D'abord, cartographier les prestataires qui gèrent des services annexes — parking, Wi-Fi invité, programmes de fidélité — car ce sont souvent les maillons les moins surveillés de la chaîne, alors qu'ils collectent des données directement identifiantes (email, téléphone, plaque d'immatriculation). Ensuite, préparer des modèles de communication anti-phishing à envoyer en parallèle de toute notification de violation : les personnes concernées doivent être averties non seulement de la fuite, mais aussi du risque de messages frauduleux exploitant les données volées, comme le recommande d'ailleurs la CNIL dans ses alertes sur les arnaques post-violation. Enfin, tester la capacité de son organisation à couper rapidement l'accès à un service en ligne compromis (ici, le service de gestion des réservations) sans interrompre l'activité principale — un arbitrage que MAG a manifestement su faire en quelques heures.

Pour les organisations qui pensent avoir été concernées ou qui veulent revoir leur procédure de réaction en cas de fuite, notre guide sur les démarches à suivre en cas de fuite de données détaille pas à pas les réflexes à adopter dans les 72 premières heures.

Ce que Leto pense de cette décision

Ce dossier illustre un angle mort classique : les entreprises concentrent souvent leurs audits de sécurité sur le cœur de leur système d'information, en laissant les services périphériques — parking, Wi-Fi, conciergerie — gérés par des prestataires tiers avec un niveau de contrôle moindre. C'est précisément là que se logent aujourd'hui une grande partie des violations de données, parce que ces systèmes sont souvent moins critiques opérationnellement, donc moins prioritaires en matière de sécurité, alors qu'ils traitent des données personnelles tout aussi sensibles. La réactivité de MAG — confinement rapide, suspension préventive du service en ligne, communication directe aux clients — est le bon réflexe, mais elle ne doit pas masquer la question de fond : un audit systématique des sous-traitants « non critiques » devrait figurer dans tout plan de conformité RGPD, pas seulement celui des systèmes jugés stratégiques.

Sources : Infosecurity Magazine, DataBreaches.net